Squid proxy, verbinden via SSH lukt niet: 403

[CeeReM.com]

Ik heb een squid proxy draaien. Via deze proxy wil ik verbinding kunnen maken met andere servers, dmv ssh. Echter krijg ik elke keer een 403 Forbidden. Iemand die een idee heeft waar het fout gaat?In Putty heb ik proxy-type HTTP gekozen.

Fout
1334703599.954 11 xx.xx.xx.xx TCP_DENIED/403 1409 CONNECT 10.0.1.15:22 - NONE/- text/html


Configuratie
acl all src 0.0.0.0/0.0.0.0

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 22 # ssh
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 8333 # vmware web interface
acl Safe_ports port 35000 # ssh
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost

http_access deny all

icp_access allow all
http_port 3128
hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
coredump_dir /var/spool/squid

[visser]

Ik heb een squid proxy draaien. Via deze proxy wil ik verbinding kunnen maken met andere servers, dmv ssh. Echter krijg ik elke keer een 403 Forbidden. Iemand die een idee heeft waar het fout gaat?In Putty heb ik proxy-type HTTP gekozen.

Fout
1334703599.954 11 xx.xx.xx.xx TCP_DENIED/403 1409 CONNECT 10.0.1.15:22 - NONE/- text/html

Heb je al gekeken of de proxy wel mag connecten met die SSH server ?
(gewoon even testen vanaf de commandline van de squid server)

[CeeReM.com]

Ja, dat is wel gewoon mogelijk

[visser]

Ja, dat is wel gewoon mogelijk

Ah, nu ik de config wat beter bekijk denk ik dat het het volgende is :
SSH heeft een CONNECT nodig (gewoon alle verkeer kopiëren), geen http proxy op een niet-standaard poort.

In de ACL staat dat CONNECT alleen naar poort 443 mag.

acl SSL_ports port 443
...
acl CONNECT method CONNECT
...
http_access deny CONNECT !SSL_ports

Probeer dus een regel
acl SSL_ports port 22

erbij te zetten.

[CeeReM.com]

Dat werkt helaas nog niet, maar krijg nu wel een andere fout: 503 Service Unavailable

In het log bestand staat het volgende:
1334737087.345 12 xx.xx.xx.xx TCP_MISS/503 0 CONNECT 10.0.1.15:22 - DIRECT/- -

[visser]

Dat werkt helaas nog niet, maar krijg nu wel een andere fout: 503 Service Unavailable

In het log bestand staat het volgende:
1334737087.345 12 xx.xx.xx.xx TCP_MISS/503 0 CONNECT 10.0.1.15:22 - DIRECT/- -

Ik zou nu even met een sniffer (tcpdump host 10.0.1.15) op de squid proxy meekijken om te zien of nu wel geprobeerd wordt om een connectie met poort 22 op te zetten.
De error suggereert een falende connectie setup.

Wat verder gezocht zou je nog kunnen denken aan SELinux (centos/redhat ?) waarbij de squid user geen tcp/22 mag openen.

[CeeReM.com]

Het werkt, SELinux moest idd uit staan! Echter duurt het wel heel lang voordat hij om mijn wachtwoord vraagt, terwijl de connectie wel al bestaat. Enig idee hoe dat komt?

[visser]

Het werkt, SELinux moest idd uit staan! Echter duurt het wel heel lang voordat hij om mijn wachtwoord vraagt, terwijl de connectie wel al bestaat. Enig idee hoe dat komt?

Dat is bijna altijd het lang wachten op een (reverse) DNS lookup.
Zorg dat die SSH server antwoord krijgt als hij een reverse lookup doet voor het IP adres waar de squid server mee connect.
(of dns fixen, of dat ip adres in /etc/hosts zetten )

[CeeReM.com]

fixed, dank u allen

[visser]

fixed, dank u allen

Allen ?
De pluralis majestatis staat ons Visser ook ;-

[CeeReM.com]

haha sorry, verkeerd gelezen - bedankt Visser!