[Comm] Squid и программы клиент-банк

[Comm] Squid и программы клиент-банк

[BoBep]

Здравствуйте
Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями) 
и есть пара программ типа клиент-банк (одна из них на Java)
Разработчики программ утверждают, что их продукт работает через прокси.
Однако опыт показывает, что через squid не работает. Причем, дело доходит 
до авторизации (устанавливается защищенное соединение ssl), а после ввода 
имени и пароля - долгое молчание и отваливается по тайм-ауту. В логах squid
ничего нет. 
Подскажите, надо ли править конфиг сквида как-то для пропускания ssl-сессий?
Я был уверен, что умолчальные настройки достаточны для этого.  

-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid и программы клиент-банк

[Alexey Morsov]

BoBep wrote:
> Здравствуйте
> Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями) 
> и есть пара программ типа клиент-банк (одна из них на Java)
> Разработчики программ утверждают, что их продукт работает через прокси.
> Однако опыт показывает, что через squid не работает. Причем, дело доходит 
> до авторизации (устанавливается защищенное соединение ssl), а после ввода 
> имени и пароля - долгое молчание и отваливается по тайм-ауту. В логах squid
> ничего нет. 
> Подскажите, надо ли править конфиг сквида как-то для пропускания ssl-сессий?
> Я был уверен, что умолчальные настройки достаточны для этого.  
ИМХО достаточны - проерено аськой....
А вы уверены что эта их программа не имеет ввиду под прокси SOCKS?
> 

-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
http://www.ricom.ru
http://www.fondmarket.ru

Re: [Comm] Squid и программы клиент-банк

[Metalking]

В сообщении от 31 Май 2004 17:03 BoBep написал(a):
> Здравствуйте
> Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями)
> и есть пара программ типа клиент-банк (одна из них на Java)
> Разработчики программ утверждают, что их продукт работает через прокси.
> Однако опыт показывает, что через squid не работает. Причем, дело доходит
> до авторизации (устанавливается защищенное соединение ssl), а после ввода
> имени и пароля - долгое молчание и отваливается по тайм-ауту. В логах squid
> ничего нет.
> Подскажите, надо ли править конфиг сквида как-то для пропускания
> ssl-сессий? Я был уверен, что умолчальные настройки достаточны для этого.
 А Вы уверены, что squid виноват? 
Написали бы каким браузером пользуетесь.  Если осёл, то посмотрите все ли 
НЕОБХОДИМЫЕ компоненты установлены и обновлены. Mozilla работает не со всеми 
банк-клиентами (за это спасибо их криворуким разработчикам).

Re: [Comm] Squid É ÐÒÏÇÒÁÍÍÙ ËÌÉÅÎÔ-ÂÁÎË

[óÅÒÇÅÊ óÉÌÁÎÔØÅ×]

Здравствуйте, BoBep.

Отвечаю на Ваше сообщение "[Comm] Squid и программы клиент-банк" от 31.05.2004 19:03:

B> Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями)
B> и есть пара программ типа клиент-банк (одна из них на Java)
B> Разработчики программ утверждают, что их продукт работает через прокси.
Есть у нас в пользовании пара таких связок. Только кажется без явы.
В нашем случае оказалось, что ssl не при чем - клиенту мешает кеширование.
Проблема решилась явным запретом кеширования путем прописывания
"no_cache deny <acl>" и "always_direct allow <acl>" на соотв. адреса и урлы.

Ну, пока...            Сергей Силантьев (MailTo:Serj@Kmez.Ru) ICQ:11144549
HTTP://WWW.KMEZ.RU                                       2:5010/53@Fidonet

Re: [Comm] Squid и программы клиент-банк

[Metalking]

В сообщении от 1 Июнь 2004 20:53 Metalking написал(a):
> В сообщении от 31 Май 2004 17:03 BoBep написал(a):
> > Здравствуйте
> > Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями)
> > и есть пара программ типа клиент-банк (одна из них на Java)
> > Разработчики программ утверждают, что их продукт работает через прокси.
> > Однако опыт показывает, что через squid не работает. Причем, дело доходит
> > до авторизации (устанавливается защищенное соединение ssl), а после ввода
> > имени и пароля - долгое молчание и отваливается по тайм-ауту. В логах
> > squid ничего нет.
> > Подскажите, надо ли править конфиг сквида как-то для пропускания
> > ssl-сессий? Я был уверен, что умолчальные настройки достаточны для этого.
>
>  А Вы уверены, что squid виноват?
> Написали бы каким браузером пользуетесь.  Если осёл, то посмотрите все ли
> НЕОБХОДИМЫЕ компоненты установлены и обновлены. Mozilla работает не со
> всеми банк-клиентами (за это спасибо их криворуким разработчикам).
Дополнение в догонку: криворуким разработчикам клиент-банка, а не mozilla. 
Чтобы не вызывать разночтений:)

Re: [Comm] Squid и программы клиент-банк

[Victor P. Vjatkin]

BoBep пишет:

>Здравствуйте
>Есть squid с настройками по умолчанию (Мастер 2.2 с обновлениями) 
>и есть пара программ типа клиент-банк (одна из них на Java)
>Разработчики программ утверждают, что их продукт работает через прокси.
>Однако опыт показывает, что через squid не работает. Причем, дело доходит 
>до авторизации (устанавливается защищенное соединение ssl), а после ввода 
>имени и пароля - долгое молчание и отваливается по тайм-ауту. В логах squid
>ничего нет. 
>Подскажите, надо ли править конфиг сквида как-то для пропускания ssl-сессий?
>Я был уверен, что умолчальные настройки достаточны для этого.  
>
>  
>
Да мне приходилось делать подобное, но система работала на своих 
специфичных портах 333x .
Достаточно было разрешить CONNECT  по этим портам и с этих хостов.
Для ssl Squid  по умолчанию  разрешает CONNECT.

===
acl SSL_ports port 443 563
acl CONNECT method CONNECT
....
#Recommended minimum configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
# Deny requests to unknown ports
http_access deny !Safe_ports
# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports
                                                ^^^^   то что разрешено 
===

Посмотрите внимательно описание системы на каких портах это работает.

-- 
Best regards,
 Victor Vjatkin


_______________________________________________
Community mailing list
Community@altlinux.ru
https://lists.altlinux.ru/mailman/listinfo/community 

Re: [Comm] Squid и программы клиент-банк

[BoBep]

On Tue, 1 Jun 2004 23:17:05 +0600
Сергей Силантьев <Serj@Kmez.Ru> wrote:

> В нашем случае оказалось, что ssl не при чем - клиенту мешает кеширование.
> Проблема решилась явным запретом кеширования путем прописывания
> "no_cache deny <acl>" и "always_direct allow <acl>" на соотв. адреса и урлы.
Спасибо, я примерно так и рассуждал.
Настроил по вашей рекомендации, однако все равно не пускает.
Уже и не знаю - куда смотреть...

-- 

WBR, Glyadelov Vladimir

Re[2]: [Comm] Squid É ÐÒÏÇÒÁÍÍÙ ËÌÉÅÎÔ-ÂÁÎË

[óÅÒÇÅÊ óÉÌÁÎÔØÅ×]

Здравствуйте, BoBep.

Отвечаю на Ваше сообщение "[Comm] Squid и программы клиент-банк" от 07.06.2004 13:50:

>> В нашем случае оказалось, что ssl не при чем - клиенту мешает кеширование.
>> "no_cache deny <acl>" и "always_direct allow <acl>" на соотв. адреса и урлы.
B> Спасибо, я примерно так и рассуждал.
B> Настроил по вашей рекомендации, однако все равно не пускает.
B> Уже и не знаю - куда смотреть...
Хм. Логи в студию ?

Ну, пока...            Сергей Силантьев (MailTo:Serj@Kmez.Ru) ICQ:11144549
HTTP://WWW.KMEZ.RU                                       2:5010/53@Fidonet

Re: [Comm] Squid и программы клиент-банк

[BoBep]

On Mon, 7 Jun 2004 14:14:53 +0600
Сергей Силантьев <Serj@Kmez.Ru> wrote:


> Хм. Логи в студию ?
Видите ли, процесс работы с программой выглядит так:
после запуска клиент-банка я захожу в IE на сайт банка и "кликаю" на определенную ссылку,
после чего устанавливается защищенное соединение. Вот до этого момента в логах сквида 
все как и должно быть -  идут строки с директивой DIRECT, как и описано в acl для этого сайта.
После того, как я устанавливаю соединение с защищенной частью, в логи сквида уже ничего не 
попадает, программа клиент-банк кричит, что устанавливается защищенное соединение и в 
своих логах пишет, что приняла сертифткат. И все. С этого момента все висит пока не отвалится 
по тайм-ауту. Сама программа клиент-банк работает как прокси, то есть в IE я настраиваю
прокси на порт этой программы, а уж ее в свою очередь натравливаю на сквид.
Вот такие дела.
Чувствую, придется все это пускать через iptables

-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid и программы клиент-банк

[Victor P. Vjatkin]

BoBep пишет:

>On Mon, 7 Jun 2004 14:14:53 +0600
>Сергей Силантьев <Serj@Kmez.Ru> wrote:
>
>  
>
>>Хм. Логи в студию ?
>>    
>>
>Видите ли, процесс работы с программой выглядит так:
>после запуска клиент-банка я захожу в IE на сайт банка и "кликаю" на определенную ссылку,
>после чего устанавливается защищенное соединение. Вот до этого момента в логах сквида 
>все как и должно быть -  идут строки с директивой DIRECT, как и описано в acl для этого сайта.
>После того, как я устанавливаю соединение с защищенной частью, в логи сквида уже ничего не 
>попадает, программа клиент-банк кричит, что устанавливается защищенное соединение и в 
>своих логах пишет, что приняла сертифткат. И все. С этого момента все висит пока не отвалится 
>по тайм-ауту. Сама программа клиент-банк работает как прокси, то есть в IE я настраиваю
>прокси на порт этой программы, а уж ее в свою очередь натравливаю на сквид.
>Вот такие дела.
>Чувствую, придется все это пускать через iptables
>  
>
Можете бросить ссылочку на банк и описание системы в почту,  попробую 
помочь.

-- 
Best regards,
 Victor Vjatkin

Re[2]: [Comm] Squid É ÐÒÏÇÒÁÍÍÙ ËÌÉÅÎÔ-ÂÁÎË

[óÅÒÇÅÊ óÉÌÁÎÔØÅ×]

Здравствуйте, BoBep.

Отвечаю на Ваше сообщение "[Comm] Squid и программы клиент-банк" от 09.06.2004 12:13:

B> после запуска клиент-банка я захожу в IE на сайт банка и "кликаю" на определенную ссылку,
B> после чего устанавливается защищенное соединение.
Абсолютно аналогично.

B>  Вот до этого момента в логах сквида все как и должно быть -  идут строки с
B> директивой DIRECT, как и описано в acl для этого сайта.  После того, как я
B> устанавливаю соединение с защищенной частью, в логи сквида уже ничего не
B> попадает
Странно вообще-то... хотя бы отлуп должен бы быть...
А acl на "защищенное соединение" для этого сайта есть/работает ?
Т.е. соотв. порты в safe_ports прописаны ?

B> программа клиент-банк кричит, что устанавливается защищенное соединение и в
B> своих логах пишет, что приняла сертифткат. И все.
Т.е. собственно "защищенного" получается еще и нет.

B> С этого момента все висит пока не отвалится по тайм-ауту.
Ну оно и понятно. попробуй любым снифером поглядеть пакеты на предмет
на какие порты она пытается ломиться после приема сертификата.
Может не все прописано в сквиде.

B> Сама программа клиент-банк работает как прокси, то есть в IE я настраиваю прокси
B> на порт этой программы, а уж ее в свою очередь натравливаю на сквид. Вот такие дела.
У нас тоже самое.

B> Чувствую, придется все это пускать через iptables
Можно. У нас трафик сквидом учитывается, потому все через него.

Ну, пока...            Сергей Силантьев (MailTo:Serj@Kmez.Ru) ICQ:11144549
HTTP://WWW.KMEZ.RU                                       2:5010/53@Fidonet

Re: [Comm] Squid и программы клиент-банк

[Nizamov Shavkat]

> можно здесь подробнее, никогда ничегоне сниффил :)
> чем удобнее?
>
>> У нас трафик сквидом учитывается, потому все через него.
> В общем-то, все же через iptables все пустил, так и не удалось мне
> победить squid в этом направлении..
>

tcpdump

но в целом пусть лучше работает через Iptables, squid не очень адекватно
отражает в логах соединения через метод connect

Re: [Comm] Squid и программы клиент-банк

[BoBep]

On Wed, 9 Jun 2004 16:45:45 +0600
Сергей Силантьев <Serj@Kmez.Ru> wrote:

> Странно вообще-то... хотя бы отлуп должен бы быть...
> А acl на "защищенное соединение" для этого сайта есть/работает ?
> Т.е. соотв. порты в safe_ports прописаны ?
да, порты для ssl прописаны и работают

> 
> B> программа клиент-банк кричит, что устанавливается защищенное соединение и в
> B> своих логах пишет, что приняла сертифткат. И все.
> Т.е. собственно "защищенного" получается еще и нет.
ну почему. если сама программа говорит, что перешла в защищенный режим и в своих 
логах показала, что приняла от банка сертификат.

> Ну оно и понятно. попробуй любым снифером поглядеть пакеты на предмет
> на какие порты она пытается ломиться после приема сертификата.
> Может не все прописано в сквиде.
можно здесь подробнее, никогда ничегоне сниффил :)
чем удобнее?

> У нас трафик сквидом учитывается, потому все через него.
В общем-то, все же через iptables все пустил, так и не удалось мне победить squid в этом направлении..

-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid и программы клиент-банк

[BoBep]

On Wed, 09 Jun 2004 16:10:02 +0600
"Victor P. Vjatkin" <vtor77@list.ru> wrote:


> Можете бросить ссылочку на банк и описание системы в почту,  попробую 
> помочь.
Если вам это действительно интересно, то вот ссылка на сайт банка:
www.avtogradbank.ru
Если идти по ссылке с сайта www-банк -> центральный оффис, 
(программа клиента должна быть уже запущена),
то устанавливается защищенное соединение и в новом окне эксплорера
появляется запрос на логин.
Сама программа клиента тоже есть, по ссылке "услуги корпоративным клиентам" ->
"WWW-Банк" -> "Файлы для загрузки"


-- 

WBR, Glyadelov Vladimir

Re: [Comm] программы клиент-банк

[Mike Lykov]

В сообщении от Вторник 22 Июнь 2004 12:20 BoBep написал:
> Если вам это действительно интересно, то вот ссылка на сайт банка:
> www.avtogradbank.ru
> Если идти по ссылке с сайта www-банк -> центральный оффис,

Ошибка при загрузке 
http://uwagb/cgi-bin/wspd_cgi.sh/WService=wsbis/login.html:

Неизвестный узел uwagb

говорит konqueror (никакой программы, ессно, нет).
в мозилле у меня www-банк вообще как ссылка не работает.
Такая виндовс-ориентированность приличным банкам не к лицу!

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] программы клиент-банк

[BoBep]

On Tue, 22 Jun 2004 12:41:30 +0500
Mike Lykov <combr@vesna.ru> wrote:


> Ошибка при загрузке 
> http://uwagb/cgi-bin/wspd_cgi.sh/WService=wsbis/login.html:
> 
> Неизвестный узел uwagb
> 
> говорит konqueror (никакой программы, ессно, нет).
> в мозилле у меня www-банк вообще как ссылка не работает.
> Такая виндовс-ориентированность приличным банкам не к лицу!
:)
Так и есть, эта злобная штука работает только с IE под оффтопик.
А неизвестный узел потому, что программа клиент-банк при запуске
перенастраивает прокси в IE на себя, и при встрече в заголовке
магического слова  uwagb, перенаправляет запрос в защищенную область
банковского сайта. В общем, все очень хитрО и замысловато.
При этом, естесственно, она еще попросит дискету с электронным ключом
и пароль на ключ.


-- 

WBR, Glyadelov Vladimir

[Comm] Re: программы клиент-банк

[Konstantin A. Lepikhov]

Hi!

Tue, Jun 22, 2004 at 11:56:53AM +0400, you wrote:

<skip>
> Так и есть, эта злобная штука работает только с IE под оффтопик.
> А неизвестный узел потому, что программа клиент-банк при запуске
> перенастраивает прокси в IE на себя, и при встрече в заголовке
> магического слова  uwagb, перенаправляет запрос в защищенную область
> банковского сайта. В общем, все очень хитрО и замысловато.
> При этом, естесственно, она еще попросит дискету с электронным ключом
> и пароль на ключ.
Она, что, использует баги IE насчет cross-site scripting? ;-)

Re: [Comm] Re: программы клиент-банк

[BoBep]

On Tue, 22 Jun 2004 12:13:33 +0400
"Konstantin A. Lepikhov" <lakostis@elektrostal.ru> wrote:


> Она, что, использует баги IE насчет cross-site scripting? ;-)
Извините, я не знаю о чем идет речь.
что это за баг и чего позволяет делать?



-- 

WBR, Glyadelov Vladimir

[Comm] Re: программы клиент-банк

[Konstantin A. Lepikhov]

Hi!

Tue, Jun 22, 2004 at 01:36:35PM +0400, you wrote:

> On Tue, 22 Jun 2004 12:13:33 +0400
> "Konstantin A. Lepikhov" <lakostis@elektrostal.ru> wrote:
> 
> 
> > Она, что, использует баги IE насчет cross-site scripting? ;-)
> Извините, я не знаю о чем идет речь.
> что это за баг и чего позволяет делать?
всякие хитрости позволяет делать - например вставлять в ссылку всякие
непотребоности, заставляя делиться IE полезной POST информацией.

Re: [Comm] Squid и программы клиент-банк

[Victor P. Vjatkin]

BoBep пишет:

>Если вам это действительно интересно, то вот ссылка на сайт банка:
>www.avtogradbank.ru
>Если идти по ссылке с сайта www-банк -> центральный оффис, 
>(программа клиента должна быть уже запущена),
>то устанавливается защищенное соединение и в новом окне эксплорера
>появляется запрос на логин.
>Сама программа клиента тоже есть, по ссылке "услуги корпоративным клиентам" ->
>"WWW-Банк" -> "Файлы для загрузки"
>  
>
Я бы сделал так: Предположим Client и браузер на одной машине.
tcpdump под win32 поможет посмотреть как идет обмен
http://windump.polito.it/install/default.htm  качаем и ставим windump.exe
http://winpcap.polito.it/install/default.htm качаем и ставим  WinPcap 3.1
запустить windump при необходимость указать интерфейс для дампа:
    windmp -i 1 -n -vvv   host  <host.bank.ru> 
посмотреть обмен, кто по каким портам куда куда ломится и кто 
заканчивает соединение .
Возможны "грабли" в попытке Client напрямую лезть на 443 порт к Server 
без прокси.
Настройки Clienta:
тунеллинг SSL :  proxy.local.ru:3128
Настройки IE: localhost:<порт Clienta>
смотрим : Коды ошибок п 4.6
Из прочинанного в доке можно легко запутаться в настройках 4.3.1.1 и  
4.3.1.2 .
Тех поддержка в этом банке есть , они же могут на ваши вопросы ответить 
и проясниь картину.
Если что не так выразил поправляйте.

-- 
Best regards,
 Victor Vjatkin