[8.900][BUG] Webproxy disallows access to shieldsup from grc.com

no message in http.log?

The Link for the scan directs to https://www.grc.com/x/ne.dll?bh0bkyd2

There is a logline for it

2012:03:08-10:50:16 asg01 httpproxy[14248]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="10.254.18.100" dstip="4.79.142.202" user="" statuscode="200" cached="0" profile="REF_HttProAstarotran (ASTARO_TRANSPARENT)" filteraction="REF_LmvZxpuYeo (NZU)" size="0" request="0x118f14a0" url="www.grc.com/.../ne.dll

but nothing that follows...

BTW: You have access to my ASG. Login is in the Mantis
20610: [UBB] Webproxy takes 99% to 180% CPU

Hi folks,
what mode are using the http proxy in?

My setup is using transparent in full transparent mode with your fine tuning applied and I can access "shields up".
Mac Lion FF 10.0.2

Ian

Hi Ian

You use Full Transparent Mode ? Do you have another NAT device after the ASG ? Otherwise this shouldn't work ?

I use transparent mode with my tweaks. Does not work with FF or IE on Win7.

Maybe a difference is - I use SSL scanning...

The unfinished request for https://www.grc.com/x/ne.dll?bh0bkyd2 seems to trigger an endless loop, as described in the other thread:
[8.900][OPEN] Webproxy takes 99% to 180% CPU - Astaro User Bulletin Board

I will continue debugging...

The unfinished request for https://www.grc.com/x/ne.dll?bh0bkyd2 seems to trigger an endless loop, as described in the other thread:
[8.900][OPEN] Webproxy takes 99% to 180% CPU - Astaro User Bulletin Board

I will continue debugging...

Hi Sascha,
I don't have any other device after my ASG that would provide a NAT function.
I gave up using the scan https traffic, too many sites required certificates or just broke and the users were not happy.

Ian

I gave up using the scan https traffic, too many sites required certificates or just broke and the users were not happy.

Me, too, Ian, but I set it up again (in January, I think it was, probably before) and it has worked without a single glitch since then.  I'm ready to start deploying it at client sites!

Please start a new thread in the Web Security forum if you try it and it creaters on you.

Cheers - Bob

Hi Ian

I'm using SSL scanner since 7.4 in transparent mode. It's true, that it's not as convinient to add required exceptions for SSL as in standard mode, as these hosts / nets have to be put into the transparent skiplist. But my List for example contains now after >2years around 30 entries for SSL VPN Gateways, Dropbox and Mozilla Update exceptions and such stuff. But with these exceptions the whole rest works for me without any flaws, and taking this time to collect the skiplist hosts / nets was it worth for me to enjoy this higher level of security and other stuff as logging, application classification and caching features of the ASG for SSL traffic.

But I also understand, that for some companies it's more difficult to deal with transparent SSL scanning if they are using tons of special applications as ebanking software and other stuff, which may require tons of skiplist entries. But why not switch to standard mode there ? Makes things easier in view of SSL scanning [:)] It also can be lot of fun to create one liner regex strings for the SSL exception to match a requirement of a specific piece of software to work with SSL scanning.

So, this was little offtopic, but I wanted to bring in the positive aspects of transparent SSL scanning too [:D]

Hi Sascha, Bob,
I used the standard proxy for a number of year, but the problem came with all the laptops that appeared in the home of having to teach the users how to change their proxy settings.
Also as part of one of the betas I changed over to test the improved functionality in the transparent proxy. No use being part of a beta test if you can't tryout some of the toys?

Yes, I have a challenge to learn to write scripts.

Ian[[[:)]]][[[:)]]][[[:)]]]