Whitelist for "allowed target services"

When you say "all services" do you mean the site has ports other than 80/443?

Barry

When you say "all services" do you mean the site has ports other than 80/443?

Barry

Yes. It uses non-standard ports for many applications/services it provides. However, we need to trust it. And it uses MANY non-standard ports, so it's not like I can just add one or two to the targeted services. Even if it were only 10 ports, I wouldn't want to open those ports to the entire web.

Hmm... I'm not an expert on Astaro's proxy, but you might create a proxy exclusion for that site, and then a DNS Network Definition for the site www.example.com, and a packetfilter rule, e.g.
source: LAN, dest: www.example.com, service: ANY, allow

Barry

Hmm... I'm not an expert on Astaro's proxy, but you might create a proxy exclusion for that site, and then a DNS Network Definition for the site Example Web Page, and a packetfilter rule, e.g.
source: LAN, dest: Example Web Page, service: ANY, allow

Barry

Thanks, but I already tried that. That's what I meant when I wrote: "
I also tried adding all services to it through the rules under network security."

Try:
Web Security > HTTP/S > Advanced Tab > Allowed target services

We've used this to allow the astaro to proxy all kinds of different ports like 8080, 8888 etc. Content filters still apply, so we still know that the site is allowed due to website categorizations, and more importantly, the content has been scanned before being presented to users.

When you just skip proxy for a website, you're exposing your users to the wild, which is a little counter productive.

I wouldn't put 'Any' into 'Allowed target services'!

Astaroz, I think you missed part of Barry's recommendation.  If you are running in a 'Transparent' mode, go to the 'Web Security >> HTTP/S' 'Advanced' tab and put the "DNS Network Definition for the site www.example.com" into the 'Transparent mode skiplist'.  By the way, in this mode, the Proxy does not handle the items in 'Allowed target services' - only HTTP and, if it's checked on the 'Global' tab, HTTPS.

If you are in one of the modes that requires pointing the client browsers at the Astaro Proxy, then you'll need to exclude the exclude the website's IPs in the browser configuation.

In either case, the packet filter rule you made is necessary and sufficient.

Cheers - Bob
PS Note to all: if one of Barry's recommendations doesn't work, reread his suggestion, because you probably missed something. (It has happened to me!) [:)]