Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 6 replies
  • Subscribers 1 subscriber
  • Views 1030 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Successful Implementation of HTTPS Proxying?

James Bourne
Hello all,

I have been experimented with enable HTTPS proxying in web security.

Does anyone have a best practices guide (gotchas!) to setting this up? From what I'm seeing, whilst it does work:

1. We exported our internal CA in MS Certificate Services and imported successfully (after a bit of mucking about to get a PKCS12). The CA installed in the ASG is obviously self signed so each site you go to prompts for exceptions - or effectively comes up untrusted depending on the browser you use. I've loaded the CA into Firefox and it does appear to alleviate the issue slightly.

Is there a more transparent way of configuring this?

2. When the HTTPS certificate of the remote site is not signed by a recognised CA in the ASG - the pages returned to the end user are a visual mess and can send the browser depending on the version into fits of apoplexy.

What is the best method in order to capture all HTTPS sites in advance, to avoid/minimise any administrative overhead? And also where can I go and get all these CA's to load into the ASG?

3. With mobile devices (eg. laptop) - once the user accepts exceptions and then takes the device offsite and then attempts to access the same HTTPS server - even more warnings are thrown up since the certificate exception is now invalid. 

Is there a way to get the browsers to quietly forget their exceptions when they change physical location?

Ultimately, the proxying of HTTPS does work but the end user experience is convoluted.

Any tips, advice appreciated.

j.


This thread was automatically locked due to age.
Parents
  • 0
    Is it supported to install a commercial cert with full browser trust (i.e. Verisign) on the ASG so that we don't need to worry with all of the issues with the untrusted Astaro certificate?
  • 0 in reply to hspcd
    Is it supported to install a commercial cert with full browser trust (i.e. Verisign) on the ASG so that we don't need to worry with all of the issues with the untrusted Astaro certificate?


    Yes, just go to Web Security > HTTP/S > HTTPS CAs tab and upload your CA cert.  It needs to be a certificate authority (CA) certificate so that it can be used to generate the individual page certs for the client sessions, and regardless of commercial or Astaro self-generated, it needs to be installed on each system (and in each browser if you use multiple browsers).

    Keep in mind that since you control the list of trusted CAs, the use of self-signed certs is less of an issue with the HTTPS proxy active.  By default, no self-signed certs are accepted for web browsing when the HTTPS proxy is active.
Reply
  • 0 in reply to hspcd
    Is it supported to install a commercial cert with full browser trust (i.e. Verisign) on the ASG so that we don't need to worry with all of the issues with the untrusted Astaro certificate?


    Yes, just go to Web Security > HTTP/S > HTTPS CAs tab and upload your CA cert.  It needs to be a certificate authority (CA) certificate so that it can be used to generate the individual page certs for the client sessions, and regardless of commercial or Astaro self-generated, it needs to be installed on each system (and in each browser if you use multiple browsers).

    Keep in mind that since you control the list of trusted CAs, the use of self-signed certs is less of an issue with the HTTPS proxy active.  By default, no self-signed certs are accepted for web browsing when the HTTPS proxy is active.
Children
  • 0 in reply to Jack Daniel
    What also helps is that we have added the ability to "except" entire categories from https, which sends them out via the packet filter now. This is useful for things like financial sites or other things which for legal reasons you dont want to inspect, or because they just don't work well when being proxied in this manner.

    The biggest "hurdle" seen is deploying the trust of the ASG CA to your browsers. You can direct users to the UserPortal, email them the link, or yes, push it out via AD.