... Если вы хотите фильтровать https сайты, либо фильтровать сайты, которые используют hsts [https://ru.wikipedia.org/wiki/HSTS] , то вы можете воспользоваться встроенным в Carbon Reductor https_proxy сервером.
Внимание\! Ознакомьтесь с требованиями по внедрению перед началом работ, т.к. внедрение требует работы со всеми вашими абонентами\!
Редуктор будет анонсировать свой ip для ресурсов, которые необходимо фильтровать через DNS, либо через BGP, абонентский трафик будет идти через редуктор.
Чтобы редуктор мог фильтровать сайты с включенным hsts, ему нужно иметь сертификат для каждого фильтруемого сайта, который абонентские устройства будут считать валидным. Самоподписные сертификаты не сработают (использование самоподписных сертификатов для фильтрации https сайтов без hsts планируем добавить в ближайшее время). Поэтому для работы требуется всем абонентам установить сертификат центра сертификации CarbonSoft в свой браузер (приложения для просмотра youtube на смартфонах и smartTV, которые мы проверяли, работали корректно и без установки сертификата).
Сам сертификат можно скачать по адресу [http://reductor-ca.carbonsoft.ru/root-chain-cert.crt]
|
|
|
Требуется организовать возможность оповещения абонентов с подробными инструкциями по настройке, например SMS. Встроенная страница с необходимой информацией в разработке. Свяжитесь с тех. поддержкой для предоставления необходимых инструкций.
|
... В целях безопасности, корневой сертификат удостоверяющего центра не хранится на серверах редуктора, на нем хранится только временный сертификат на конкретные домены, в которых используется hsts и которые есть в списках Роскомнадзора. (сейчас там только youtube)
Как включить https_proxy:
*1. Включить HTTPS-прокси(squid) в меню(команда "menu").*
!Снимок экрана от 2017-01-23 11-12-59.png|border=1,width=508,height=211!
Переходим в подменю "Настройка Squid".
И активируем опцию "Включить модуль фильтрации https через проксирование".
!Снимок экрана от 2017-01-23 11-15-33.png|border=1,width=583,height=167!
Сохраним изменения.
!Снимок экрана от 2017-01-23 11-17-12.png|border=1!
*2. Вернуться в основное меню и выбрать подменю "Reductor". Затем перейти в "Настройки алгоритма фильтрации".*
В данном подразделе включить следующие опции:
"Фильтровать HSTS ресурсы через прокси"
"Отправлять HSTS домены в прокси по DNS"
Также необходимо заполнить поле "IP-адрес прокси-сервера" \- это ip адрес редуктора.
!Снимок экрана от 2017-01-23 11-20-55.png|border=1!
Выполнить выход из меню с сохранением изменений.
|
*3. Заполнить список hsts ресурсов для https-прокси, использую любой тестовый редактор*
|
{panel} /app/reductor/var/lib/reductor/lists/load/domain_hsts.load\* {panel}
|
{panel} /app/reductor/var/lib/reductor/lists/provider/our.domain_hsts{panel}
|
Например
|
{panel} echo "youtube.com" > /app/reductor/var/lib/reductor/lists/provider/our.domain_hsts. {panel}
|
*4. Выполнить перезапуск используемых приложений*
|
...
{panel} /app/reductor/service restart{panel}
{panel} /app/https_proxy/service restart{panel}
|
