Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 1 subscriber
  • Views 649 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Sick of using HTTP Proxy

ScottG
I've been using the HTTP proxy with user authentication for a couple years now and I'm to the point where it's more trouble than it's worth.  I've had so many things not work and it's frequently difficult to make rules that get around it.  More often than not I can't figure out the necessary packet filter rule because the packet filter log isn't showing me what's blocked. 

I don't think I can switch to transparent proxy because that only allows port 80 traffic.  Is that correct?  So everything that uses a different port will stop working. 

I was thinking of disabling http proxy altogether, but I guess then I'd lose out on virus and content filtering, right?

Is there a way to keep the virus and content filtering, but not use HTTP Proxy?

--Scott


This thread was automatically locked due to age.
  • 0
    The transparent proxy will work with ports other than 80... these can be adjusted in the advanced tab for the HTTP/S proxy, under allowed services.

    CTO, Convergent Information Security Solutions, LLC

    https://www.convergesecurity.com

    Advice given as posted on this forum does not construe a support relationship or other relationship with Convergent Information Security Solutions, LLC or its subsidiaries.  Use the advice given at your own risk.

  • 0
    No, the transparent proxy definetively only works for standard HTTPs (port 80) traffic, and - if activated "HTTPS content scanning - for HTTPS (port 443) traffic. 

    No other ports will be transparently redirected to the proxy. For all other ports you want to get through the fw, you have to have packetfilterrules.

    YOu can proof this by looking at the automatically created iptables REDIRECT rules:

    asg:/var/log # iptables -L -nv -t nat|grep REDIR
        0     0 REDIRECT   tcp  --  *      *       172.30.2.90          0.0.0.0/0           tcp spts:1:65535 dpt:80 ADDRTYPE match dst-type !LOCAL redir ports 8080
        0     0 REDIRECT   tcp  --  *      *       172.30.2.77          0.0.0.0/0           tcp spts:1:65535 dpt:80 ADDRTYPE match dst-type !LOCAL redir ports 8080
        0     0 REDIRECT   tcp  --  *      *       172.30.2.90          0.0.0.0/0           tcp spts:1:65535 dpt:443 ADDRTYPE match dst-type !LOCAL redir ports 8080
        0     0 REDIRECT   tcp  --  *      *       172.30.2.77          0.0.0.0/0           tcp spts:1:65535 dpt:443 ADDRTYPE match dst-type !LOCAL redir ports 8080

    The "allowed services" configuration in the advanced tab is not having any influence on this.
  • 0
    More often than not I can't figure out the necessary packet filter rule because the packet filter log isn't showing me what's blocked. 


    Of course, the packetfilter log will never show anything that is blocked by the http proxy. Can it be you just have looked into the wrong logfile? If you want to debug problems of the http proxy (like "why can´t I reach a specific website" or "why is this download not working") than you would have to have a look into the content filter (HTTP/S) filter log.

    All other type of conenctions will be logged by the packetfilter log for sure - well, at least if you have the logging option enabled in your packetfilter rules...
  • 0
    I have looked in the HTTP log from time to time, and I was never able to find anything that would help me create a rule.  I'm sure someone more experience would know better what to do.  It's always been a little confusing to me how traffic in handled in the astaro.  Like when something is an Proxy issue or a firewall issue or both.
  • 0

    I was thinking of disabling http proxy altogether, but I guess then I'd lose out on virus and content filtering, right?


    Yes, you´re correct.


    Is there a way to keep the virus and content filtering, but not use HTTP Proxy?


    No, the virus and content filtering capabilities are bound to the web proxy, you canot have one thing but not the other thing!
  • 0 in reply to ScottG
    I have looked in the HTTP log from time to time, and I was never able to find anything that would help me create a rule.

    I'm sure someone more experience would know better what to do.  It's always been a little confusing to me how traffic in handled in the astaro.  Like when something is an Proxy issue or a firewall issue or both.
     


    Well, I accept this is not self-explanatory, but on the other hand, it´s not THAT difficult in general.

    The basic "debug work flow" of the ASG: 
    1) for every connection where a ASG proxy is involved, look into the appropriate proxy log file. 
    2) If you don´t see nothing, look into the packetfilter log.
    3) If you still see nothing,  give it a try with the IPS log and the IM/P2P log (both modules can unexpecingly block connections)
    4) If you still do not know what happens, call support ;-)