Duvida com firewall + SARG

carlosguerra91
(usa Debian)

Enviado em 17/08/2016 - 15:11h

Boa tarde,

Estou implantando um servidor proxy na empresa onde presto serviços de TI.

Utilizo o "Debian GNU/Linux 8 (jessie)"
Instalei o iptables junto com o squid3, até então consegui fazer todas as configurações.
Estou utilizando proxy transparente com 2 placas de rede.

A dúvida está em relação ao arquivo /var/log/squid3/access.log

Ele está me mostrando os acessos em IP das páginas "HTTPS" visitadas. Ficando dificil para analisar quais são os sites que estão sendo navegados pelos clientes.

Teria alguma forma de resolver esses IPS para nomes, dos sites que usam conexão segura (SSL)?

No caso das páginas acessadas "HTTP" está tudo OK.

O problema que isso está impactando nos relatórios do SARG...

Alguem sabe como resolver esse problema? Obrigado.



root@geobox-server-proxy:/var/log/squid3# tail access.log
1471457435.554 5953 172.16.0.113 TCP_TUNNEL/200 1208900 CONNECT 191.241.237.78:443 - ORIGINAL_DST/191.241.237.78 -
1471457435.554 5953 172.16.0.113 TCP_TUNNEL/200 1208900 CONNECT 191.241.237.78:443 - ORIGINAL_DST/191.241.237.78 -
1471457435.792 495 172.16.0.113 TCP_TUNNEL/200 0 CONNECT 191.241.237.78:443 - ORIGINAL_DST/191.241.237.78 -
1471457435.792 495 172.16.0.113 TCP_TUNNEL/200 0 CONNECT 191.241.237.78:443 - ORIGINAL_DST/191.241.237.78 -
1471457440.872 65624 172.16.0.109 TCP_TUNNEL/200 1411 CONNECT 31.13.85.8:443 - ORIGINAL_DST/31.13.85.8 -
1471457440.872 65624 172.16.0.109 TCP_TUNNEL/200 1411 CONNECT 31.13.85.8:443 - ORIGINAL_DST/31.13.85.8 -
1471457443.941 45849 172.16.0.113 TCP_TUNNEL/200 336 CONNECT 158.85.58.38:443 - ORIGINAL_DST/158.85.58.38 -
1471457443.941 45849 172.16.0.113 TCP_TUNNEL/200 336 CONNECT 158.85.58.38:443 - ORIGINAL_DST/158.85.58.38 -
1471457445.785 367 172.16.0.104 TCP_MISS/200 776 GET http://h5.m.taobao.com/bizcache/5/windvane/0/0-0/21371601-5.0.0/a/settings.json - ORIGINAL_DST/200.196.225.122 application/json
1471457445.785 367 172.16.0.104 TCP_MISS/200 776 GET http://h5.m.taobao.com/bizcache/5/windvane/0/0-0/21371601-5.0.0/a/settings.json - ORIGINAL_DST/200.196.225.122 application/json

fpires
(usa Debian)

Enviado em 19/08/2016 - 10:27h

HTTPS é criptografado, logo o squid não "encherga" os detalhes da requisição pois eles estão criptografados, apenas o cliente (browser) e o servidor remoto têm essa visão.

http://wiki.squid-cache.org/Features/HTTPS#CONNECT_tunnel