Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 18 replies
  • Subscribers 1 subscriber
  • Views 5539 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

HTTP Proxy, Content Filter, Surf Protection Guide

Gert Hansen
Hi there all, 

As there has been many question about the usage of the content filter as well as misunderstanding and confusion about the HTTP Proxy functionality and how to configure it, I take the opportunity to explain it and each possible scenario at the  attached PDF .

I will cover 4 topics:
1) Describe the different parts of the configuration, what they do and how they work.
2) Outline each possible scenario (combination of parts of the configuration), if it works or not, and what to do to get it working.
3) Explain the two common problems and how to fix them
4) Interpreting Common Error messages 

Please read the document if you have any problems regarding the HTTP Proxy.

We found that many problems are introduced by the same missunderstanding:
There are two parameters for the Local Assignement of Profiles:
- Assign By User
- Assign By Network (or host)
And the Content Filter always evaluates both, the User AND the Network assignment.

This might lead to two common errors:

Error 1)
You are using the Proxy in Standard or Transparent mode and you added users to our Profile Assignment
and you always get the error message 'No matching profile'.
ERROR! 
User assigned profiles ONLY work if you are using the proxy in User Authentication Mode.
Fix: plz remove all users from the Profile Assignments.

Error 2)
You are using the Proxy in User Authentication mode and you added users but NO networks to your Profile Assignment 
and you always get the error message: 'No matching profile'.
ERROR!
The Content Filter always evaluates both Assignments (user AND network) therefore you need to add user AND network.
Fix: plz add the network 'Any' to the network assignment.

I hope this helps you to better understand the actual configuration and what it does.

If you have any questions, 
plz don't hesitate to post in this forum.

regards
Gert


This thread was automatically locked due to age.
43223-HTTP_Surf_Protection_Guide_UBB.pdf
Parents
  • 0
    Hi!
    In the PDF-Document your referring in Chapter 3.4.4 (LDAP Profile Assignment) to a LDAP howto. Where can I get this howto?
    I tried a search in this forum and had a look on docs.astaro.org, but didn't found any howto.
    As far as I understood currently the Profile Assignment via LDAP isn't working, because only one Profile gets evaluated!?
    Can you estimate, when this will be working, as we upgraded to V5 because of this feature and are now disappointed to find it not working.
  • 0 in reply to Didel
    the multi-profile-issue has been addressed with Up2Date 5.010
  • 0 in reply to Marcel_01
    Hi there all, 

    we addressed all known open bugs http proxy bugs with the 5.011 update.

    So plz check it out.

    regards
    Gert
  • 0 in reply to Gert Hansen
    Thanks for this confirmation about issues with HTTP proxy being addressed in 5.011. I hoped for it / though so when I was reading the release notes of 5.011. I encourage you to state such important fixes more explicitely in the release notes that are included in the Up2Date packages.

    First impression about the patched HTTP proxy on two 5.011 firewalls: this work now smooth, at least so far, we will see statbility over extended time and with more user load.

    Rolf
  • 0 in reply to RolfSommerhalder
    The HTTP proxy is great, but it has some serious loopholes.

    For example:

    in user authentication mode, to log activity, the client must have the IP of the firewall in its browser. but if the user changes this ip and sets it as blank or uses an external proxy the user can browse the net unrestricted with no login.

    This is either a fundamental flaw or poor logic in design. Any clues on how to get around this if the client does not have active-directory inorder to use global settings to disable te connection tab.
  • 0 in reply to Rebel_Nation
    Hi Rebel_Nation, 

     [ QUOTE ]
     This is either a fundamental flaw or poor logic in design. Any clues on how to get around this if the client does not have active-directory inorder to use global settings to disable te connection tab.  

    [/ QUOTE ] 

    This is neither a fundamental flaw nor a poor logic in design, but more a lack of knowledge of the product.

    There are two ways to prevent people from bypassing the HTTP proxy.

    a) use HTTP proxy in transparent mode
    b) disable the packetfilter rule that allows HTTP traffic through the firewall.

    best regards
    Gert
  • 0 in reply to Gert Hansen
    Hi all...

    Can it be, that only the tag "http_access" works properly? When i make a profile in cobion that have the same name like my group in active directory, i cant access to internet like the NTLM Authentication. But when i move my user into a group in active directory that is named "http_access" and my profile in cobion has the same name (http_access) then it works properly...

    Thanks for a answer and have a nice day...

    P.S What i have forget to say, i'm on active directory / nt domain membership authentication mode!
  • 0 in reply to Truth
    Hi there all, 

    actually this is the wanted behavior, 
    this is a snippet out of the online help of HTTP proxy:

     [ QUOTE ]
    When an Active Directory/NT domain membership has been set up under System->User Authentication, you can select this option here. This has the effect that NTLM user authentication will be used to authenticate clients. This will only work with Microsoft Internet Explorer! To be able to use the proxy, a user MUST be in a group called "http_access" in the domain. 

    [/ QUOTE ] 

    We devided the authorization and profile assignment into two different groups.

    regards
    Gert
Reply
  • 0 in reply to Truth
    Hi there all, 

    actually this is the wanted behavior, 
    this is a snippet out of the online help of HTTP proxy:

     [ QUOTE ]
    When an Active Directory/NT domain membership has been set up under System->User Authentication, you can select this option here. This has the effect that NTLM user authentication will be used to authenticate clients. This will only work with Microsoft Internet Explorer! To be able to use the proxy, a user MUST be in a group called "http_access" in the domain. 

    [/ QUOTE ] 

    We devided the authorization and profile assignment into two different groups.

    regards
    Gert
Children
No Data