В IE11 не корректно работают исключения, как правильно их прописывать?

Question

[myasnik8352]

Есть прокси сервер squid 3.3.8 клиенты с win7 и IE11. Появилась необходимость пускать некоторые сайты мимо прокси, выяснилось что исключения в IE игнорируются, и запрос проходят через прокси. Сейчас записи имеют следующий вид:

*.mydomain.ru;*.mydomain2.ru;e5.*;1c.ru;edi.*;comarch.*;ediweb.*;edisfera.*;*.7cont.*;

Галка "Не использовать прокси-сервер для локальный адресов" стоит.
Настройки IE распространяются logon скриптом(правка реестра) с помощью GPO.
Изменения применяются, видно по реестру.

При этом в логах squid все еще видны запросы и на локальные сайты и сайты из исключений.

Пробовал с указанием протокола (http://site.ru;https://site.ru), но в таком случае строчка исключений становиться совсем не читаемой с большим кол-во символов. Выше привел лишь небольшую часть исключений.

Так как правильно прописать исключения?

Comments

[Ezhyg]

для протоколов там отдельные поля в настройках (ну и в скрипте они тоже должны быть написаны)

[myasnik8352]

Ezhyg: меня больше интересуют исключения по доменам

[Ezhyg]

myasnik8352: так правильно всё, но если не указаны протоколы там может какая-то ерунда твориться. При чём непрописанное в скрипте не то же самое, что не указанное в настройках. Но... я по памяти, могу и напутать. Хотя проверить не сложно, пара строк в скрипт -> проверка -> вывод/

[myasnik8352]

Ezhyg: проверил, галка "Один прокси-сервер для всех протоколов", встает по умолчанию. А вот чтобы ее убрать нужно дописывать скрипт. Значит записи исключений по протоколу не имеют смысла в моем случае. Что в любом случае, не отвечает на основной вопрос...

[Ezhyg]

вывод - память меня подвела :(

Answer 1

[res2001]

Используйте сценарий автоматической настройки прокси. Там можно очень гибко все фильтровать.
Так же можете настроить "Автоматическое определение параметров" - смысл тот же, просто не нужно прописывать путь для сценария автонастройки. Хотя с АД и GPO можно этим и не заморачиваться.
Ключевые слова для поиска: WPAD и PAC файл.

Comments

[myasnik8352]

Настроил wpad по этой статье https://interface31.ru/tech_it/2016/05/wpad-ili-av...
И не могу понять работает или нет. Если зайти на wpad.mydomain.ru/wpad.dat файл скачивается. А вот исключения, с чего все и начиналось, так и не победил. Ниже мой wpad.dat:
function FindProxyForURL(url, host)
{
if (isPlainHostName(host)) {return "DIRECT";}
if (isInNet(host, "192.168.0.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.2.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.10.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.15.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.51.0", "255.255.255.0")) {return "DIRECT";}
if (shExpMatch(host, "127.0.0.1" )) {return "DIRECT";}
if (shExpMatch(host, "*/localhost*" )) {return "DIRECT";}
if (dnsDomainIs(host, ".mydomain.ru")) {return "DIRECT";}
if (dnsDomainIs(host, ".mydomain2.ru")) {return "DIRECT";}
if (dnsDomainIs("*.7cont.ru", ".7cont.ru")) {return "DIRECT";}
if (dnsDomainIs("*.rbk.ru", ".rbk.ru")) {return "DIRECT";}
if (dnsDomainIs("*.rbc.ru", ".rbc.ru")) {return "DIRECT";}
if (dnsDomainIs("*.e5.ru", ".e5.ru")) {return "DIRECT";}
if (dnsDomainIs("*.1c.ru", ".1c.ru")) {return "DIRECT";}
return "PROXY proxy:3128";
}

Как правильно прописывать домены которые нужно пустить мимо прокси в wpad?

[res2001]

Результаты работы скрипта можно посмотреть в консоли браузера.
В firefox консоль открывается с помощью Ctrl+Shift+J. В хроме она где-то в меню разработчика. В ишаке ... по моему ее нет по умолчанию, но сообщения от alert вываливаются в окне сообщений, увидите.
В самом скрипте можно выводить отладочные сообщения с помощью: alert("msg");

В целом вы все правильно делаете. Если доменов много, можете запихать их в массив и в цикле проверять, так будет проще поддерживать скрипт. В общем весь стандартный javascript вам в помощь.

И еще - настройте веб сервер, который отдает wpad.dat, чтоб обязательно в ответ добавлялись заголовки, управляющие временем жизни закэшированного браузером wpad.dat (expires), и ставьте не большой интервал жизни (пол часа у меня). Иначе устанете вручную удалять кэши на раб.станциях.

Информации в интернете хватает, нужно только правильно вопросы в поисковике задавать.
Родной сайт: findproxyforurl.com/pac-file-introduction
Вот несколько хороших статей:
https://xakep.ru/2015/06/12/wpad-traffic/
ubuntu-faq.blogspot.ru/2013/11/wpad-proxy-pac.html

И еще, я когда отлаживал пришлось себе поставить снифер. С помощью него нашел, например, что ишак вместо того что бы искать wpad.mydomain ищет proxy.mydomain и еще кто-то из браузеров периодически не добавляет домен к wpad. В общем тонкости реализации. Микрософтовский Network Monitor вполне не плохо справился.

[myasnik8352]

res2001: Спасибо большое за ваши ответы.
С кэшем проблем вроде нет, отключил его с помощью GPO по рекомендации microsoft по этой статье https://support.microsoft.com/en-us/help/271361/ho...
Файл настройки всегда прилетает свежий.

Но моя проблема с wpad оказалась глубже, чем я думал в начале) Сейчас на стенде где включено автоматическое определение параметров, запросы до прокси не доходят вообще... Т.е. выше в моем файле wpad.dat указаны исключения, а все остальное должно идти на squid, а до него дело не доходит, я могу попасть на любой сайт вне зависимости от acl в squid3... еще раз мой файл:

function FindProxyForURL(url, host)
{
// Don't proxy local hostnames
if (isPlainHostName(host)) {return "DIRECT";}
// Don't proxy local addresses
if (isInNet(host, "192.168.0.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.2.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.10.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.15.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.51.0", "255.255.255.0")) {return "DIRECT";}
// Don't proxy local hosts
if (shExpMatch(host, "127.0.0.1" )) {return "DIRECT";}
if (shExpMatch(host, "*/localhost*" )) {return "DIRECT";}
// Don't proxy local domains
if (dnsDomainIs(host, ".mydomen.ru")) {return "DIRECT";}
if (dnsDomainIs(host, ".mydomen2.ru")) {return "DIRECT";}
// proxy override
if (dnsDomainIs("*.7cont.ru", ".7cont.ru")) {return "DIRECT";}
if (dnsDomainIs("*.rbk.ru", ".rbk.ru")) {return "DIRECT";}
if (dnsDomainIs("*.rbc.ru", ".rbc.ru")) {return "DIRECT";}
if (dnsDomainIs("*.e5.ru", ".e5.ru")) {return "DIRECT";}
if (dnsDomainIs("*.1c.ru", ".1c.ru")) {return "DIRECT";}
if (dnsDomainIs("*.metro-mgl.ru", ".metro-mgl.ru")) {return "DIRECT";}
if (dnsDomainIs("*.edi.ru", ".edi.ru")) {return "DIRECT";}
if (dnsDomainIs("*.edi.su", ".edi.su")) {return "DIRECT";}
if (dnsDomainIs("*.comarch.ru", ".comarch.ru")) {return "DIRECT";}
if (dnsDomainIs("*.ediweb.ru", ".ediweb.ru")) {return "DIRECT";}
if (dnsDomainIs("*.edisfera.ru", ".edisfera.ru")) {return "DIRECT";}
if (dnsDomainIs("*.kontur.ru", ".kontur.ru")) {return "DIRECT";}
if (dnsDomainIs("*.ecod.ru", ".ecod.ru")) {return "DIRECT";}
if (dnsDomainIs("service.ecod.ru", ".ecod.ru")) {return "DIRECT";}
if (dnsDomainIs("*.diadoc.ru", ".diadoc.ru")) {return "DIRECT";}
if (dnsDomainIs("*.esphere.ru", ".esphere.ru")) {return "DIRECT";}
if (dnsDomainIs("*.edi-express.ru", ".edi-express.ru")) {return "DIRECT";}
if (dnsDomainIs("*.bssys.ru", ".bssys.ru")) {return "DIRECT";}
if (dnsDomainIs("*.etp-micex.ru", ".etp-micex.ru")) {return "DIRECT";}
if (dnsDomainIs("*.itob-online.ru", ".itob-online.ru")) {return "DIRECT";}
// other all go to proxy
return "PROXY proxy:3128; DIRECT";
}

Последняя строчка должна отправлять всех мимо прокси, если он будет не в сети.

[res2001]

Расставьте в скрипте alertы с диагностическими сообщениями и смотрите консоль браузера. И уберите пока DIRECT из последнего return.

Answer 2

[myasnik8352]

по совету res2001 было решено использовать wpad, рабочий wpad.dat ниже:

function FindProxyForURL(url, host)
{
// Don't proxy local hostnames
if (isPlainHostName(host)) {return "DIRECT";}
// Don't proxy local addresses
if (isInNet(host, "192.168.0.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.2.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.10.0", "255.255.254.0")) {return "DIRECT";}
if (isInNet(host, "192.168.15.0", "255.255.255.0")) {return "DIRECT";}
if (isInNet(host, "192.168.51.0", "255.255.255.0")) {return "DIRECT";}
// Don't proxy local hosts
if (shExpMatch(host, "127.0.0.1" )) {return "DIRECT";}
if (shExpMatch(host, "*/localhost*" )) {return "DIRECT";}
// Don't proxy local domains 
if (dnsDomainIs(host, ".mydomain.ru")) {return "DIRECT";}
if (dnsDomainIs(host, ".mydomain2.ru")) {return "DIRECT";}
// proxy override
if (shExpMatch(url, "*.7cont.ru*")) {return "DIRECT";}
if (shExpMatch(url, "*.rbk.ru*")) {return "DIRECT";}
if (shExpMatch(url, "*.rbc.ru*")) {return "DIRECT";}
// other all go to proxy
return "PROXY proxy:3128; DIRECT";
}