Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 11 replies
  • Subscribers 1 subscriber
  • Views 2880 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

8.002:problem accessing a https site

gband
Hello everyone.I enabled Http/s-Global-Scan Https (SSL) Traffic.
I also have 3 Proxy Profiles where I also enabled Scan Https (SSL) Traffic.
The proxy's certificate is imported in client's machines via group policy.
All https site we are accessing work fine, except https://ape.desmie.gr where I get the message “Internet Explorer cannot display the webpage”.
I made an exception rule, when I checked all the check boxes (for test reasons) and added “For all requests - Matching these URL’s” - ape.desmie.gr and desmie.gr
But still I get the same message. If I try to access the site outside astaro’s network, there is no problem.
Is there a way to fix this?
Regards, George


This thread was automatically locked due to age.
  • 0
    What is the exception rule like? What's on the http log?
  • 0
    are you using the proxy in transparent mode? If so, have you tried to use the IP address instead of the hostname for the exception?
    My guess is that a 'Certificate Trust Check' exception for the IP fixes this.
  • 0 in reply to wingman
    Hello. I am attaching the rule and the log file. didn't help me, perhpaps you see something i missed.
    regards, george
    proxy1.zip
  • 0 in reply to ulmi
    I just read your reply ulmi. The proxy is in transparent mode. and indeed, using the ip address in the exception rule worked.
    So, is it something that has to do with the firewall? it doesn't handle something correctly?
    Regards, george
  • 0
    You stumbled upon two different issues/hassles when using transparent mode + SSL:
    -In a HTTPS 'get' request the hostname/URL is only transferred once the SSL connection is established - this means you can't use URLs for SSL Trust Check Exceptions in transparent mode, since the ASG doesn't know the used URL yet.

    -The HTTP/S Proxy in transparent mode handles sites with an invalid SSL certificate not very well; If the cert can't be verified, you get the "Internet Explorer cannot display the webpage" site instead of a proper error message.

    Both of these problems only exist in transparent mode, and not in standard mode.
  • 0
    Ok. thanks a lot for yout ime and help.
    regards
  • 0 in reply to gband
    I am having a similar problem.  At least I think it is similar.  I am trying to get to https://billpay.msn.com and get the message that the it can't display the web site.

    I recently upgraded to v8.  I didn't have this issue with v7.

    I've tried creating an exception using the IP address but still can't get in.

    Other https sites seem to work ok.

    Can someone provide a little help as to how I can get around this issue?  I am in transparent mode.  If I switch to standard mode, then it seems my URL filters don't work.

    Thanks in advance.
  • 0
    Hi, Right, it's difficult to see into a problem without some hard specifics.
    I am trying to get to https://billpay.msn.com and get the message that the it can't display the web site.

    Please show a picture or copy the complete, exact message.  Also, show the lines from the 'Content Filter (HTTP)' log file relative to this incident.

    If I switch to standard mode, then it seems my URL filters don't work.

    What do you mean by "filters don't work?"  Again, please show relavant lines from the HTTP log.

    In a transparent mode, the proxy doesn't handle HTTPS unless 'Scan HTTPS (SSL) Traffic' is checked - is that the case?

    Cheers - Bob
     
    Sophos UTM Community Moderator
    Sophos Certified Architect - UTM
    Sophos Certified Engineer - XG
    Gold Solution Partner since 2005
    MediaSoft, Inc. USA
  • 0 in reply to BAlfson
    I also now have issues getting to hotmail.com  I get the following message when trying to log in...

    Internet Explorer cannot display the webpage 
       
       What you can try: 
        Diagnose Connection Problems  
     
         More information 

    This problem can be caused by a variety of issues, including: 

    •Internet connectivity has been lost.
    •The website is temporarily unavailable.
    •The Domain Name Server (DNS) is not reachable.
    •The Domain Name Server (DNS) does not have a listing for the website's domain.
    •There might be a typing error in the address.
    •If this is an HTTPS (secure) address, click Tools, click Internet Options, click Advanced, and check to be sure the SSL and TLS protocols are enabled under the security section.

    I do not have the 'Scan HTTPS' option enabled.

    I have URL filters enabled - basically a advertisement blocking technique and those don't work when I switch to standard mode.

    Following is the log when trying to connect to hotmail...

    2010:10:26-18:43:50 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.0.20" dstip="64.4.20.186" user="" statuscode="302" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="340" time="209 ms" request="0xaddc8d40" url="www.hotmail.com/.../html"
    2010:10:26-18:43:50 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="POST" srcip="192.168.0.20" dstip="199.7.50.72" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="1728" time="160 ms" request="0xadd863b0" url="evsecure-ocsp.verisign.com/.../ocsp-response"
    2010:10:26-18:44:17 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs03.astaro.com' access time: 40ms"
    2010:10:26-18:44:17 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs07.astaro.com' access time: 66ms"
    2010:10:26-18:44:17 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs06.astaro.com' access time: 101ms"
    2010:10:26-18:44:17 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs05.astaro.com' access time: 288ms"
    2010:10:26-18:44:18 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs04.astaro.com' access time: 282ms"
    2010:10:26-18:44:18 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs01.astaro.com' access time: 291ms"
    2010:10:26-18:44:18 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs11.astaro.com' access time: 295ms"
    2010:10:26-18:44:18 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs02.astaro.com' access time: 303ms"
    2010:10:26-18:44:19 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs09.astaro.com' access time: 397ms"
    2010:10:26-18:44:19 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs08.astaro.com' access time: 505ms"
    2010:10:26-18:44:20 GoAway httpproxy[7197]: id="0003" severity="info" sys="SecureWeb" sub="http" request="(nil)" function="sc_check_servers" file="scr_scanner.c" line="724" message="server 'cffs10.astaro.com' access time: 459ms"
    2010:10:26-18:45:26 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.0.20" dstip="70.37.130.31" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="42" time="150 ms" request="0xadd16138" url="udc.msn.com/c.gif
    2010:10:26-18:46:07 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="POST" srcip="192.168.0.20" dstip="65.55.175.183" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="273" time="158 ms" request="0xaddc8b68" url="Logging.windows.microsoft.com/.../xml"
    2010:10:26-18:46:07 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.0.20" dstip="70.37.129.48" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="2667" time="220 ms" request="0xadd17998" url="Content.windows.microsoft.com/.../GetContent.aspx
    2010:10:26-18:46:08 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="GET" srcip="192.168.0.20" dstip="70.37.129.48" user="" statuscode="200" cached="0" profile="REF_DefaultHTTPProfile (Default Proxy)" filteraction="REF_DefaultHTTPCFFAction (Default content filter action)" size="320" time="127 ms" request="0xadd17998" url="Content.windows.microsoft.com/.../GetContent.aspx
    2010:10:26-18:46:13 GoAway httpproxy[7197]: id="0001" severity="info" sys="SecureWeb" sub="http" name="http access" action="pass" method="POST"
  • 0 in reply to Right2Bear
    This is a new issue in v8.  It seems almost any https: site either doesn't load or is slow once it does load.  I find it hard to believe that exceptions would have to be made for these sites.

    Is there a 'default' setting that should be set to allow access.
    What is different in v8 than was in v7.

    I am using the freeware version so I don't like to complain for something I received for nothing but this makes the product virtually unusable so I'd like to find a fix for this.

    Thank you for your help.