Version vom 24. April 2025, 03:43 Uhr

Squid im Intercept-Modus via TPROXY mit nftables

Squid läuft nicht direkt auf der Firewall, sondern auf einer separaten Maschine im Netzwerk.
Der Proxy soll HTTP (Port 80) und HTTPS (Port 443) Verkehr transparent abfangen.
Die Original-Ziel-IP soll erhalten bleiben – daher TPROXY statt DNAT/REDIRECT.
Die Firewall nutzt `nftables` und unterstützt Policy-Based Routing.

nft add table inet tproxy
nft add chain inet tproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'

Weiterleitung der markierten Pakete zur lokalen Verarbeitung:

Folgende Module müssen geladen sein: mo*dprobe nf_conntrack mo*dprobe nf_tproxy_ipv4

Squid muss mit TPROXY-Support kompiliert sein (`--enable-linux-netfilter`)

Squid-Konfiguration anpassen:

http_port 3029 tproxy
https_port 3030 tproxy ssl-bump cert=/etc/squid/certs/proxy.pem key=/etc/squid/certs/proxy.key

ssl_bump peek all
ssl_bump bump all
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

Squid benötigt zusätzliche CAPs zum Binden fremder IPs:

Überprüfen ob Pakete markiert werden:

Clientzertifikate oder CA-Zertifikate müssen ggf. angepasst werden.

Browserwarnungen bei HTTPS sind zu erwarten, falls keine eigene Root-CA ausgerollt ist.

Diese Methode ist technisch aufwendig – in produktiven Umgebungen sollte, wenn möglich, ein expliziter Proxy via WPAD bevorzugt werden.

@@ Zeile 8: / Zeile 8: @@
 == nftables-Regeln auf der Firewall ==
-Tabelle und Kette erstellen:
+;Tabelle und Kette erstellen:
 *nft add table inet tproxy
 *nft add chain inet tproxy prerouting '{ type filter hook prerouting priority mangle; policy accept; }'
+;TPROXY-Regeln für HTTP und HTTPS einfügen:
-* TPROXY-Regeln für HTTP und HTTPS einfügen:
 *nft add rule inet tproxy prerouting tcp dport 80 tproxy to :3029 mark set 1
 *nft add rule inet tproxy prerouting tcp dport 443 tproxy to :3030 mark set 1