Почему на web-proxy Mikrotik долго отрабатывает deny, 403 Forbidden?

Question

[Kenny00]

Есть Микротик в качестве прокси сервера (web-proxy), на котором есть одно правило (как dst-domain) с разрешением всех windows update по списку и 1 сайтом - allow. Остальное всё deny. (всё запрещено, кроме разрешенных)

На сайте есть ресурсы, подгружаемые с других ресурсов (Например тот же одноименный сайт социальной сети и их API), они запрещены кроме основного сайта, так как внутренний сайт, не предполагает авторизацию через соц сети. А клиенты из интернета пожалуйста.

Сайт test.ru просто не грузится, пока не получит все элементы, да же пусть они будут 404 или 403.


После успешной загрузки или не загрузки элементов, сайт работает прекрасно.



От сюда вопрос, почему микротик так долго думает прежде чем вернуть 403?
(ровно 300 секунд, судя по дебагу)

P.S. Если разрешить одноименный сайт социальной сети, то отрабатывает за секунду.

Answer 1

[rionnagel]

Потому, что пакеты полностью дропаются, а не реджектятся. Перед дропами сделать reject tcp-reset.
То, шо вы используете веб прокси еще не значит, что клиент игнорит фаервол.

Comments

[Kenny00]

tcp-reset и drop сделаны были.

chain=forward action=reject reject-with=tcp-reset protocol=tcp src-address=192.168.1.7
chain=forward action=drop connection-state=invalid 
chain=forward action=drop src-address=192.168.1.7

Чего ждет клиент тогда, и почему в Итоге прилетает 403 от Микротика?
Ровно через 300,1 с.

[Kenny00]

rionnagel , резет у меня есть, я проверил статистику. Даж до дропа не доходит.

[rionnagel]

Kenny00, 403 прилетает не от микротика, по сути и не прилетает. Хз почему - реджектить должно моментально от микротика. Нужно копать грубже.

[Kenny00]

rionnagel, я в deny добавил редирект - 307, отработало за 7 секунд.
Что не так с 403? Вы не сталкивались?

[rionnagel]

Kenny00, попробуйте инпут тоже.

Answer 2

[АртемЪ]

Почему на web-proxy Mikrotik долго отрабатывает deny, 403 Forbidden?

Потому что вы не правильно понимаете как это работает.
Mikrotik просто уничтожает пакет, и больше ничего не делает.
Он не имеет никакого отношения к 403 Forbidden.

почему микротик так долго думает прежде чем вернуть 403?

Потому что эту ошибку возвращает браузер, а не микротик! А микротик тут вообще не при делах.

Вы дали задачу браузеру загрузить ресурс - он пытается это сделать.
Но часть сайта не грузится - вы же заставили микротик дропать пакеты, и они тупо не доходят до браузера.
Браузер ждет в надежде что может все получится и пакет придет, пытается отправить запрос повторно - но микротик по прежнему блокирует трафик, и в конце концов, браузер сдается, и сообщает вам что данный ресурс вывести не получается - 403.

Comments

[Kenny00]

Браузер принудительно настроен, на прокси микротика.
Правила, reset tcp и дроп на forwarde сделаны, но на запрос соц сети, он обязан ответить 403, а не дропать, разве не так? Это же не простой forward, а через прокси.
Почему тогда http response в заголовке - "server: mirkotik http proxy"
Через 300,1 с он отвечает.

[АртемЪ]

Kenny00,

но на запрос соц сети, он обязан ответить 403

Не понял смысла вашей фразы.
Вы о ком говорите? О браузере или о микротике?

• Ответ 403 выдает браузер - он ничего дропать не может.
  
• Дропает микротик - выдавать ответы вроде 403 он не может.
  

[Kenny00]

АртемЪ, на микротике поднят прокси, он отдает при запросе URL либо страницу, либо 403 если запрещено. Выше я же на скриншоте это показал. Заголовок ответа приходит, но через 300 секунд. Вопрос, почему так долго?
307 - Редирект если сделать, то отрабатывает быстро. Но зачем мне лишний трафик.