Posté par ratw3 .
En réponse au message Filtrage SSL.
Évalué à 1.
Dernière modification le 16 novembre 2014 à 02:10.
Bonjour,
concernant ton besoin de faire de l'analyse SSL j'avais posté il ya quelques temps des questions là dessus mais des "pseudos" puristes des libertés individuelles m'avaient immédiatement lapidé en place publique ...
Bon concernant les solutions:
Squid + SSLBump -> déjà testé ça fonctionne pas très bien dans le sens ou ca merde au niveau de la charge (voir si cela s'est amélioré depuis...) d'autre part tes users auront des messages d'avertissement sur tous les sites et ça c'est juste horrible (pour outrepasser cela il faudrait diffuser un certificat trusted généré via un CAroot maison...) si tu as accès à touss les devices ça peut être une solution ...
La solution de l'analyse via DNS est pas mauvaise... si bien entendu tu filtres le port 53 tcp/udp vers Internet (exclusion de ton DNS local)...
Tu pourrais aussi utiliser snort pour ton trafic ce qui aurait également pour avantage de bloquer du trafic pas propre (malware & co) au besoin. (il existe des règles pour des catégories web cf porn & co mais elles ne semblent pas très efficace)
```
# un petit mix...
Posté par ratw3 . En réponse au message Filtrage SSL. Évalué à 1. Dernière modification le 16 novembre 2014 à 02:10.
Bonjour,
concernant ton besoin de faire de l'analyse SSL j'avais posté il ya quelques temps des questions là dessus mais des "pseudos" puristes des libertés individuelles m'avaient immédiatement lapidé en place publique ...
Bon concernant les solutions:
Squid + SSLBump -> déjà testé ça fonctionne pas très bien dans le sens ou ca merde au niveau de la charge (voir si cela s'est amélioré depuis...) d'autre part tes users auront des messages d'avertissement sur tous les sites et ça c'est juste horrible (pour outrepasser cela il faudrait diffuser un certificat trusted généré via un CAroot maison...) si tu as accès à touss les devices ça peut être une solution ...
La solution de l'analyse via DNS est pas mauvaise... si bien entendu tu filtres le port 53 tcp/udp vers Internet (exclusion de ton DNS local)...
Tu pourrais aussi utiliser snort pour ton trafic ce qui aurait également pour avantage de bloquer du trafic pas propre (malware & co) au besoin. (il existe des règles pour des catégories web cf porn & co mais elles ne semblent pas très efficace)
```