Squid 3.5.9. SSL Peek and Splice без подмены сертификатов. Имеются проблемы, есть идеи?

Question

[Никита Парфенович]

Всем привет. В SQUID 3.5 появилась возможность создавать прозрачное проксирование https, конкретно SSL Peek and Splice. Делал по такому рецепту https://toster.ru/q/249885, оно работает, но у меня Squid начинает падать и автоматом перезапускаться при открытии https-сайтов. Раз 5 перезапустится, потом перестает из-за превышения количества перезапусков за определенный период времени. Причем перезапускается без видимых причин. в cache.log только сказано, что все перезапущено. В /var/log/messages нашел следующие строки:

Sep 22 00:12:09 shluz kernel: [4162228.121400] squid[17766]: segfault at c ip b6c15079 sp bfcef3e8 error 4 in libssl.so.1.0.0[b6bef000+5f000]
Sep 22 00:12:20 shluz kernel: [4162239.217368] squid[17771]: segfault at c ip b6cb5079 sp bfd999e8 error 4 in libssl.so.1.0.0[b6c8f000+5f000]
Sep 22 00:12:24 shluz kernel: [4162243.251076] squid[17780]: segfault at c ip b6c95079 sp bfb847c8 error 4 in libssl.so.1.0.0[b6c6f000+5f000]
Sep 22 00:21:38 shluz kernel: [4162797.295524] squid[18008]: segfault at c ip b6c05079 sp bfcf4e98 error 4 in libssl.so.1.0.0[b6bdf000+5f000]
Sep 22 00:21:46 shluz kernel: [4162805.371557] squid[18158]: segfault at c ip b6c77079 sp bfa59178 error 4 in libssl.so.1.0.0[b6c51000+5f000]
Sep 22 00:26:08 shluz kernel: [4163067.693651] squid[18163]: segfault at c ip b6cc2079 sp bfae5a68 error 4 in libssl.so.1.0.0[b6c9c000+5f000]
Sep 22 00:26:16 shluz kernel: [4163075.766431] squid[18302]: segfault at c ip b6c3f079 sp bf9b5868 error 4 in libssl.so.1.0.0[b6c19000+5f000]
Sep 22 00:30:46 shluz kernel: [4163346.045829] squid[18311]: segfault at c ip b6bfa079 sp bffb1738 error 4 in libssl.so.1.0.0[b6bd4000+5f000]
Sep 22 00:30:54 shluz kernel: [4163354.119116] squid[18392]: segfault at c ip b6c9e079 sp bfddf3a8 error 4 in libssl.so.1.0.0[b6c78000+5f000]
Sep 22 00:35:12 shluz kernel: [4163612.399517] squid[18602]: segfault at c ip b6c63079 sp bff49708 error 4 in libssl.so.1.0.0[b6c3d000+5f000]
Sep 22 00:35:21 shluz kernel: [4163620.474409] squid[18643]: segfault at c ip b6c68079 sp bfb9a508 error 4 in libssl.so.1.0.0[b6c42000+5f000]
Sep 22 00:39:48 shluz kernel: [4163887.731443] squid[18648]: segfault at c ip b6c53079 sp bfc734f8 error 4 in libssl.so.1.0.0[b6c2d000+5f000]
Sep 22 00:39:56 shluz kernel: [4163895.805680] squid[18820]: segfault at c ip b6c9a079 sp bfd20238 error 4 in libssl.so.1.0.0[b6c74000+5f000]

Как видно, проблема в библиотеке libssl.so.1.0.0.
Система Debian Jessie х86, Squid 3.5.9, собранный с поддержкой ssl-bumping.

Какие мысли, господа?

Comments

[Nadz Goldman]

strace - моя мысль =)

[mikes]

могу кинуть скомпиленные бинарники для x86_64 :)

Answer 1

[Никита Парфенович]

Отписался в теме Squid фильтрация https без подмены сертификатов. Как решить проблему с ssl3? , в общем видимо дело в специфических патчах, которые имеются в Debian. На Archlinux x64 все работает прекрасно, тему можно закрывать.

UPD. 27.09.15: как говорится, "песня совсем не о том". linux-admin.tk/?action=viewArticle&articleId=31 - написал статью с полным решением проблемы

Answer 2

[Пума Тайланд]

забаньте на уровне днса, это проще в сто раз по ssl днс пока не ходит

Comments

[mikes]

и как блокировать по ДНС выборочно?

[Пума Тайланд]

mikes: ну днс это имена сайтов какие не угодно блокируйте.конкретные страницы заблокировать конечно нельзя.

[Никита Парфенович]

mikes: задача первоочередная не просто блокировать, а отслеживать посещение https ресурсов, чего через dns не сделать