Да я вот тоже озадачился прокси и с той же ошибкой наткнулся на ваш вопрос.
В итоге не стал заморачиваться с чисто прозрачным прокси, т.к. нужны логи нормальные, сделал по сертификату. Еще пришлось по ходу дела заново собирать сквид поверх стоящего - отключал ipv6.
Конфиг по портам и SSL получился такой:
http_port 3128 intercept
visible_hostname 127.0.0.1:80
https_port 3129 intercept ssl-bump tcpkeepalive=60,30,3 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=20MB tls-cert=/etc/squid/ssl/bump.crt tls-key=/etc/squid/ssl/bump.key cipher=HIGH:MEDIUM:!LOW:!RC4:!SEED:!IDEA:!3DES:!MD5:!EXP:!PSK:!DSS options=NO_TLSv1,NO_SSLv3,SINGLE_DH_USE,SINGLE_ECDH_USE tls-dh=prime256v1:/etc/squid/ssl/bump_dhparam.pem
ssl_bump stare all
sslproxy_cert_error deny all
sslcrtd_children 32 startup=5 idle=1
sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/lib/squid/ssl_db -M 20MB
Если поменять ssl_bump stare all на ssl_bump splice all будет работать прозрачно без подмены сертификата, но тогда с логами беда.
Написано
Войдите на сайт
Чтобы задать вопрос и получить на него квалифицированный ответ.
В итоге не стал заморачиваться с чисто прозрачным прокси, т.к. нужны логи нормальные, сделал по сертификату. Еще пришлось по ходу дела заново собирать сквид поверх стоящего - отключал ipv6.
Конфиг по портам и SSL получился такой:
http_port 3128 intercept
visible_hostname 127.0.0.1:80
https_port 3129 intercept ssl-bump tcpkeepalive=60,30,3 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=20MB tls-cert=/etc/squid/ssl/bump.crt tls-key=/etc/squid/ssl/bump.key cipher=HIGH:MEDIUM:!LOW:!RC4:!SEED:!IDEA:!3DES:!MD5:!EXP:!PSK:!DSS options=NO_TLSv1,NO_SSLv3,SINGLE_DH_USE,SINGLE_ECDH_USE tls-dh=prime256v1:/etc/squid/ssl/bump_dhparam.pem
ssl_bump stare all
sslproxy_cert_error deny all
sslcrtd_children 32 startup=5 idle=1
sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/lib/squid/ssl_db -M 20MB
Если поменять ssl_bump stare all на ssl_bump splice all будет работать прозрачно без подмены сертификата, но тогда с логами беда.