ftp and https transparent?

You don't state which version of ASL you are running, v4 or v5.
In the context sensitive help in ASL v4, you will find the following comment for the HTTP proxy:
[ QUOTE ]
In Transparent mode, the proxy will handle all traffic passing the firewall on port 80. In this mode, the clients do not need to enter the proxy in their browser configuration. Please note that the proxy cannot handle FTP and HTTPS (secure) requests in this mode. If your clients want to access such services, you must open the respective ports (21 and 443) in the packet filter.

[/ QUOTE ] Have you done this? Are ports 21 and 443 open through your packet filter?

Get rid of your strange NAT rule with SQUID in it, That is not the way to solve the problem.

i tought that its possible to forward http, https and ftp request from internal to any, to the astaro squid with dnat/snat rules like:
if http request from internal -> forward to lokal adress (astaro) to port 8080.

I wanted to make these traffic transparent with this rule, because in the real transparent mode only http is possible (doesn´t matter if we talk about v4 or v5 ;-) ) and i wasn´t really happy to set the proxies manually in the browsers.

I had the eTrust SCM bevor, for virus scanning. It was in the dmz and i managed it with dnat/snat, too. but how to dnat/snat to the astaro´s http proxy?

I said nothing different

Is transparency such a big issue?

Unless you have so many user machines on the internal network that it is impractical to configure all the browsers to use the port 8080 proxy on the ASL internal interface, I would suggest you simply tell your users to use the proxy, and then put in a filter rule that drops all port 80 traffic originating from the Internal network. That way they have no choice but to go through the proxy.

VelvetFog ,

it´s not such a "b ig" issue, but i´m young, i´m a trainee and i´d like to solve problems most centralized as possible.
There are always more ways or solutions, but i was looking for a transparent so that users have no changes. 
My network knowledge is not the best right now but is the reason why https is not transparent maybe because of the cryptet https protocol? i mean if it´ll be possilbe (the transparency) wouldn´t it be than something like a men in the middle?

right now https and ftp not being able to be done in transparent mode is a squid limitation...squid is not made by astaro but by squid.  You can get more information at http://www.squid-cache.org

thx william.
is it generally possible (from the protocoll view) to make https transparent?

technically..I don't think so..but i am guessing on that question..[:)]

allright 

http://www.cisco.com/en/US/products/sw/conntsw/ps491/products_configuration_guide_chapter09186a00801cc947.html

...where it says "Transparent HTTPS caching using SSL works as follows" seems to say that it is technically possible, but only if your as wealthy as a small country and can afford all that cisco gear.... [:)]

I think its also doable with SSl accelerators which also cost a small fortune..

Hi!

AFAIK HTTPS-Traffic isn't cached... So why not create a filter rule, that lets HTTPS pass directly? (Same for FTP...)

HTTP is then cached through the transaprent proxy...
I think, this would be the best solution!

Cheers,
Thorsten

We wanted to introduce transparent proxy, but because of the usage of user authentication it was not possible. This is our solution: We created a user login-scripts to set the proxy setting in the IE for every client during to login process. Additionally we changed the permission that a normal user is not able to change these settings on his/her machine. 

It is now also some kind of “transparent”, because they cannot change it.

We wanted to introduce transparent proxy, but because of the usage of user authentication it was not possible. This is our solution: We created a user login-scripts to set the proxy setting in the IE for every client during to login process. Additionally we changed the permission that a normal user is not able to change these settings on his/her machine. 

It is now also some kind of “transparent”, because they cannot change it.

if you use a windows net why didn´t you enter the proxy for ie in the ad´s gpo?

[ QUOTE ]
We created a user login-scripts to set the proxy setting in the IE for every client during to login process.

[/ QUOTE ]I guess you must still be running an old Windows NT 4 server then. On any newer version of Windows server, Win2K or Win2K3, you would simply force the IE settings through the use of a group policy. If you make the change in the default group policy on the domain, it will automatically reconfigure IE to use the web proxy on every connected machine.

that´s it. 

 [ QUOTE ]
 I guess you must still be running an old Windows NT 4 server then. 

[/ QUOTE ] 

Yes, correct.

So upgrading your ASL was just the beginning...

The rest of your network is still sitting there, waiting...    [:)]