Wpad dat: инструкция по эксплуатации / Блог компании Mail.ru Group / Хабр

Настройка WPAD (Web Proxy Auto-Discovery)

Недавно столкнулся с настройкой Web Proxy Auto-Discovery и решил опубликовать статью, по которой можно легко и быстро настроить WPAD в домене Active Directory.

Как работает WPAD (_DNS-обнаружение_)?
Если у вас включена настройка «автоматическое определение настроек», то при подключении к Internet браузер попытается найти сервер wpad.<имя-вашего-домена>. Если оно не обнаружено, то браузер будет добавлять «wpad» ко всем именам доменов уровнем выше (вплоть до 3-го уровня). Например, если клиент находится в домене a.b.microsoft.com, то Internet Explorer будет искать сервера: wpad.a.b.microsoft.com

wpad.b.microsoft.com

wpad.microsoft.com

Если один из серверов найден, то браузер в корневом каталоге будет пытаться обнаружить файл wpad.dat . Если этот файл существует, то он будет использован в качестве скрипта при подключении к Internet (PAC-файл).
Как настроить WPAD?
# Создайте стандартный файл Proxy Auto-Config (PAC).

Пример файла:

function FindProxyForURL(url, host)
{
// If URL has no dots in host name, send traffic direct.
if (isPlainHostName(host))
return "DIRECT";
// If specific URL needs to bypass proxy, send traffic direct.
if (shExpMatch(host,"*domain.local*") ||
shExpMatch(host,"*domain2.local*") ||
shExpMatch(host,"mail.domain.ru") ||
shExpMatch(host,"ftp.domain.ru") ||
shExpMatch(host,"192.168.*") ||
shExpMatch(host,"127.*") ||
dnsDomainIs(host,".domain.local") )
return "DIRECT";
// All other traffic uses below proxies, in fail-over order.
return "PROXY 192.168.xxx.xxx:8080";
}

# Сохраните этот файл в корневом каталоге вашего web-сервера (из вашего домена) под именем wpad.dat

При необходимости вы можете использовать HTTP редирект, и сохранить этот файл где-либо еще:

Redirect /wpad.dat http://other.server.com/proxy.pac

# Убедитесь, что этот файл Вы можете открыть в браузере по адресу:

http://www.<имя-вашего-домена>/wpad.dat , например:

http://www.web.server.ru/wpad.dat

# Добавьте следующую строку в файл mime.types на вашем сервере (если у вас на сервере есть уже такая строка для pac файлов, добавьте к ней «dat»):

application/x-ns-proxy-autoconfig   .dat после чего перегрузите ваш web-сервер, чтобы эта настройка применилась.

# Создайте запись DNS на вашем сервере, которая позволит распознавать имя wpad.<имя-вашего-домена> в IP-адрес вашего web-сервера (дополнительное имя web-сервера, alias). Или же вы можете использовать файл hosts вашего компьютера, для создания связи: wpad.your.domain.name <IP-address your web-server>

# В Internet Explorer 5 или выше, меню «Tools» («Сервис»), «Internet Options» («Свойства обозревателя»), «Connections» («Подключение»), «Settings» or «LAN Settings» («Настройка сети» или «Настройка локальной сети»), установите только «Use Automatic Configuration Script» («Использовать сценарий автоматической настройки») и пропишите там адрес, где находится ваш файл wpad.dat, например: http://wpad.your.domain.name/wpad.dat

# Убедитесь, что все работает с использованием вашего скрипта (файла wpad.dat). Не переходите к следующему пункту до тех пор, пока не убедитесь, что все функционирует корректно…

# Теперь вернитесь к экрану настройки конфигурации proxy, описанному в шаге 6, и отключите все флажки за исключением «Automatically Detect Settings» («Автоматическое определение настроек»). Если этот флажок был включен, то выключите его, перегрузите браузер, и снова включите.Теперь перезапустите Internet Explorer.

Дополнение
В DNS-сервере кроме записи A или CNAME необходимо создать запись SRV:_tcp._wpad.domain.local

Дополнение 2

Microsoft DNS-сервер по умолчанию блокирует DNS-запись WPAD. Для её разблокировки необходимо установить Support tools и выполнить команду:

dnscmd /config /enableglobalqueryblocklist 0 — подробнее тут

Протокол автоматической настройки прокси (WPAD) [Мозаика системного администрирования]

WPAD (Web Proxy Auto-Discovery Protocol)

Протокол автоматической настройки прокси — метод, используемый клиентами для определения места (URL) расположения конфигурационного файла с использованием технологий DHCP и/или DNS.

После того, как определено местоположение файла конфигурации и сам файл получен, клиент использует его для определения, каким прокси воспользоваться для каждого конкретного URL.

WPAD протокол только определяет механизм поиска файла конфигурации, а вместе с ним чаще всего используется формат конфигурационного файла разработанный фирмой Netscape в 1996 для Netscape Navigator 2.0.

Нужно создать файл wpad.dat, который будет доступен для чтения всем пользователям в локальной сети.

1. Настроить сервер HTTP, например Mini-HTTPd

2. В корень сервера HTTP нужно положить файл wpad.dat

Пример:

wpad.dat

function FindProxyForURL(url, host) {
// Если URL не содержит точек в адресе, то работаем напрямую.
if (
   isPlainHostName(host)
   )
return "DIRECT";
 
// Локальные адреса с которыми нужно работать напрямую.
if (
   shExpMatch(url,"http://*.domain.ru") ||
   shExpMatch(url,"https://*.domain.ru") ||
   shExpMatch(url,"ftp://*.domain.ru")
   )
return "DIRECT";
 
// Специально для СБиС онлайн
if (shExpMatch(url,"*.sbis.ru*"))return "PROXY proxy:3128";
 
// Локальные IP адреса с которыми нужно работать напрямую.
var resolved_ip = dnsResolve(host);
if (
    isInNet(resolved_ip, "127.0.0.0", "255.255.255.0") ||
    isInNet(resolved_ip, "10.0.0.0", "255.0.0.0") ||
    isInNet(resolved_ip, "192.168.0.0", "255.255.0.0")
    )
return "DIRECT";
 
// Разные варианты прокси серверов по проторолам
if (shExpMatch(url, "http:*"))  return "PROXY proxy:3128";
if (shExpMatch(url, "https:*")) return "PROXY proxy:3128";
if (shExpMatch(url, "ftp:*")) return "PROXY proxy:3128";
if (shExpMatch(url, "ws:*")) return "SOCKS proxy:1080";
if (shExpMatch(url, "wss:*")) return "SOCKS proxy:1080";
}

3. Настроить сервер DNS задав для сервера имя wpad в локальном домене

4. Настроить сервер DHCP

URL должен быть таким: http://wpad/wpad.dat

Протестировано с следующими прокси серверами:

Для старых браузеров рекомендуется создать ссылки на основной файл:

wpad_links.sh

#!/bin/bash
 
www_root=/var/www/html
 
cd $www_root
ln -s wpad.dat wpad.da
ln -s wpad.dat proxy.pac

wpad/wpad.txt · Последние изменения: 2020-06-02 10:21 — GreyWolf

Forefront TMG и кастомизированный wpad.dat

После того как мы начали использовать для авто-настройки параметров прокси WPAD файл который генерируется Forefront TMG, заметили то, что попытка использовать в настройках сети Internal в списке исключений для обхода прокси комбинацию имён и IP диапазонов приводит к проблеме открытия некоторых локальных узлов. Похожая проблема была описана в статье KB920715, но не смотря на то, что речь там идёт про ISA 2004, схожие симптомы мы наблюдали и на TMG. Когда из списка исключений для обхода прокси убирались IP диапазоны – проблема устранялась. Ещё к большему желанию отказаться от использования генерируемого TMG файла wpad.dat привела статья Richard Hicks’ Forefront TMG Blog — WPAD Considerations for Kerberos Authentication with NLB VIP on Forefront TMG 2010. По одной из ссылок в этой статье было найдено описание метода “скармливания” TMG самостоятельно сформированного кастомизированного файла wpad.dat —

Дело осталось за малым, корректно создать собственный файл параметров авто-настройки WPAD. В изучении вопроса оказались полезными ресурсы Wikipedia — Proxy auto-config и Penguins Joys — Wpad.dat

В итоге у меня получился такой вот файл wpad.dat:

function FindProxyForURL(url, host) {

 

if (shExpMatch(host, «127.0.0.1» ) ||

shExpMatch(host, «localhost» ) ||

isInNet(host, «10.0.0.0»,  «255.0.0.0») ||

dnsDomainIs(host, «.holding.com» )||

dnsDomainIs(host, «.localdomain.ru» )||

dnsDomainIs(host, «.my.domain.local» )||

shExpMatch(url,»*.holding.com/*») ||

shExpMatch(url, «*.holding.com:*/*») ||

shExpMatch(url, «www.samedom1.ru») ||

shExpMatch(url, «app.samedom2.com») ||

isPlainHostName(host)) {return «DIRECT»;}

 

return «PROXY KOM-AD01-TMGCL.holding.com:8080; DIRECT»;

 

}

Для того чтобы заставить TMG использовать созданный нами wpad.dat воспользуемся набором скриптов, которые можно загрузить по ссылке указанной в статье Swedish Windows Security User Group > Use ISA/TMG to distribute your custom WPAD configuration file

Распаковываем на TMG сервере архив KB953293.zip в отдельный каталог, например C:ToolsCustomWPADKB953293 и создаём два командных файла для установки кастомизированного файла wpad.dat и для удаления (возврату к генерируемому файлу TMG). В нашем случае соответственно файлы получились такие:

wpad-file-install.cmd:

cd /d C:ToolsCustomWPADKB953293

cscript kb953293.wsf /array:. /net:internal /script:C:ToolsCustomWPADwpad.dat

wpad-file-uninstall.cmd:

cd /d C:ToolsCustomWPADKB953293

cscript kb953293.wsf /array:. /net:internal /del

Обратите внимание на то что в переменной array в качестве значения имени массива TMG можно указать точку, чтобы использовать текущий массив.

Сама процедура установки первым командным файлом выглядит примерно так: 

В указанной статье обращается внимание на то, что в случае если в созданном нами файле wpad.dat будут найдены символы non-ASCII, то возможно процедура установки такого файла завершиться неуспешно.

После того, как наш файл авто-настройки успешно установлен в TMG, — очищаем кэш браузера с проверяем то, что по ссылке http://wpad.holding.com/wpad.dat нам возвращается именно наш файл. Проверяем работу браузеров с заданными нами настройками и убеждаемся в том, что комбинирование правил исключений для имён и IP работает успешно. Дополнительно собственным файлом авто-настройки мы решаем ещё одну проблему описанную Ричардом Хиксом — теперь клиенты будут обращаются на виртуальный IP нашего NLB кластера, а не на какую-то конкретную ноду, как это происходит в случае с использованием генерируемого TMG файла wpad.dat.

Установив кастомизированный файл авто-настройки следует помнить о том, что все последующие изменения, которые необходимо вносить в конфигурацию (например расширения списка обхода прокси) нужно производить путём корректировки созданного нами файла и повторной его установки командным файлом wpad-file-install.cmd. При этом изменения выполняемые на соответствующих закладках свойств сети Internal в консоли TMG будут игнорироваться, по крайней мере это показывают практические тесты.

Поделиться ссылкой на эту запись:

Похожее

wpad | vMind.ru

По просьбам трудящихся и по материалам Юрия Корягина 😉

Тема WPAD всем близка, так что получайте :)))

По сути, сценарий представляет из себя файл автоматической конфигурации с расширением *.pac, написанный на JavaScript. Он должен обязательно содержать в себе функцию:function FindProxyForURL(url, host)
{
…
}Эта функция должна быть НЕ включена в HTML. Выкладывается файл автоматической конфигурации (назовем его proxy.pac для примера) на веб-сайте, доступном без участия прокси-сервера (к которому есть прямой доступ, говоря иначе).

У многих, наверное, уже возник вопрос: какие же преимущества дает использование файла автоматической конфигурации? Думаю, вы сами поймете эти преимущества и по достоинству их оцените по ходу чтения статьи. Итак, опишу используемые при написании сценария функции и команды.

Команда DIRECT — устанавливает прямое соединение (без участия прокси).
Команда PROXY host:port — устанавливает соединение через прокси:порт.
Команда SOCKS host:port — устанавливает Socks-серевер для подключений.

Даже с помощью таких примитивных команд можно добиться гораздо большего результата, нежели при настройке браузера вручную. Вот попробуйте, например, в окне настроек подключения прописать сразу несколько прокси-серверов. Слабо? А вот файл автоматической конфигурации предоставляет такую возможность. Рассмотрим два примера:
Пример 1:
function FindProxyForURL(url, host)
{
PROXY proxy1.gorod.ru:8080; proxy2.gorod.ru:3128; DIRECT
}
Алгоритм действия браузера при таком содержимом файла-сценария будет таким: первым будет использоваться прокси-сервер proxy1.gorod.ru:8080. Если он не работает, то будет использоваться резервный прокси-сервер proxy2.gorod.ru:8080. В случае, если не работают оба прокси, используется прямое подключение DIRECT (без участия прокси).

Пример 2:
function FindProxyForURL(url, host)
{
PROXY proxy1.gorod.ru:8080; SOCKS socks.gorod.ru:1080
}
В этом случае при неработающем прокси proxy1.gorod.ru:8080 подключение будет идти через SOCKS-сервер socks.gorod.ru:1080.

Функция isPlainHostName(host)
Здесь host — имя хоста в адресе URL (исключая номер порта).
Функция возвращает два значения: true (истина) и false (ложь). True (истина) — если имя домена не содержится в имени хоста (нет точки).
Например:
isPlainHostName(«www») — возвратит значение true (истина).
isPlainHostName(«www.yandex.ru») — возвратит значение false (ложь).

Функция dnsDomainIs(host, domain)
host — имя хоста в адресе URL.
domain — имя домена для сравнения с именем хоста.
Функция возвращает значение true (истина), если имя хоста содержит в себе имя домена, и false (ложь), если не содержит.
Например:
dnsDomainIs(«www.yandex.ru», «.yandex.ru») — значение true (истина).
dnsDomainIs(«www», «.yandex.ru») — значение false (ложь).
dnsDomainIs(«www.rambler.ru», «.yandex.ru») — значение false (ложь).

Функция localHostOrDomainIs(host, hostdom)
host — имя хоста в адресе URL.
hostdom — полное имя хоста для сравнения с именем хоста в адресе URL.
Функция возвращает значение true (истина), если имя хоста содержит в себе частично или полностью имя хоста для сравнения, и false (ложь), если не содержит.
Например:
localHostOrDomainIs(«www.yandex.ru», «www.yandex.ru») — true (истина) — точное соответствие.
localHostOrDomainIs(«www», «www.yandex.ru») — true (истина) — соответствует имя хоста.
localHostOrDomainIs(«www.rambler.ru», «www.yandex.ru») — false (ложь) — имя домена не соответствует.
localHostOrDomainIs(«webmaster.yandex.ru», «www.yandex.ru») — false (ложь) — имя хоста не соответствует.

Функция isResolvable(host)
host — имя хоста в адресе URL.
Функция возвращает значение true (истина), если имя хоста разрешается доменной системой имен (DNS), и false (ложь), если не разрешается.
Например:
isResolvable(«www.yandex.ru») — true (истина), если разрешению не воспрепятствует файервол или какая-либо другая причина.
isResolvable(«hochu.mnogo.deneg») — false (ложь).

Функция isInNet(host, pattern, mask)
host — DNS-имя или IP-адрес хоста. Если было введено DNS-имя, оно автоматически разрешится в IP-адрес этой функцией.
pattern — IP-адрес для сравнения.
mask — маска подсети сравнения.
Функция возвращает значение true (истина), если IP-адрес хоста совпадает с IP-адресом для сравнения или если IP-адрес хоста входит в подсеть сравнения, и false (ложь), если не совпадает или не входит.
Например:
isInNet(host, «198.162.24.79», «255.255.255.255») — true (истина), если IP-адрес указанного хоста равен 198.162.24.79, иначе false (ложь).
isInNet(host, «198.162.0.0», «255.255.0.0») — true (истина), если IP-адрес указанного хоста принадлежит области 198.162.*.*, иначе false (ложь).

Функция dnsResolve(host)
host — имя хоста для разрешения.
Функция разрешает DNS-имя хоста в IP-адрес с помощью службы DNS, и возвращает значение IP-адреса.
Например:
dnsResolve(«istu.edu») — функция вернет строку «62.76.19.33».

Функция myIpAddress()
Возвращает в виде строки адрес компьютера, на котором запущен браузер.
Например:
myIpAddress() — вернет IP-адрес компьютера, на котором запущен браузер («172.27.33.31» — мой IP-адрес).

Функция dnsDomainLevels(host)
host — имя хоста в адресе URL.
Возвращает значение уровня доменного имени (число точек в имени хоста).
Например:
dnsDomainLevels(«www») — возвращает число «0».
dnsDomainLevels(«www.mail.ru») — возвращает число «2».

Функция shExpMatch(str, shexp)
str — любая строка для сравнения (может быть URL или имя хоста).
shexp — выражение для сравнения.
Возвращает значение true (истина), если строка для сравнения содержит в себе выражение для сравнения. В противном случае возвращает false (ложь).
Например:
shExpMatch(«http://www.site.ru/category/job/it/», «*/job/*») — возвращает значение true (истина).
shExpMatch(«http://www.site.ru/category/game/mobila/», «*/job/*») — возвращает значение false (ложь).

Функция weekdayRange(wd1, wd2, gmt)
wd1 и wd2 — дни недели из списка: SUN MON TUE WED THU FRI SAT
gmt — параметр учета времени по Гринвичу.
Обязательным является только первый параметр wd1. Остальные могут отсутствовать. Если присутствует только первый параметр wd1, функция возвращает значение true (истина) только на протяжении указанного дня недели. Если присутсвует второй параметр wd2 — функция возвращает значение true (истина) с дня недели wd1 по день недели wd2. Параметр gmt при своем присутствии указывает на то, что время следует исчислять по Гринвичу, иначе время исчисляется по местному часовому поясу.
Например:
weekdayRange(«MON», «FRI») — возвращает значение true (истина) с понедельника по пятницу включительно.
weekdayRange(«MON», «FRI», «GMT») — возвращает значение true (истина) с понедельника по пятницу включительно по Гринвичу.
weekdayRange(«SUN») — возвращает значение true (истина) на протяжении всего воскресенья.
weekdayRange(«SUN», «GMT») — возвращает значение true (истина) на протяжении всего воскресенья по Гринвичу.
weekdayRange(«FRI», «MON») — возвращает значение true (истина) с пятницы по понедельник включительно.

Функция dateRange. Возможные вариации этой функции:
dateRange(day)
dateRange(day1, day2)
dateRange(month)
dateRange(month2, month3)
dateRange(year)
dateRange(year1, year2)
dateRange(day1, month2, day2, month3)
dateRange(month2, year1, month3, year2)
dateRange(day1, month2, year1, day2, month3, year2)
dateRange(day1, month2, year1, day2, month3, year2, gmt)
day — день месяца с 1 по 31.
month — месяц из списка: JAN FEB MAR APR MAY JUN JUL AUG SEP OCT NOV DEC.
year — полный номер года (например, 2004, значение 04 не подойдет).
gmt — параметр учета времени по Гринвичу.
Функция возвращает значение true (истина) на протяжении всего указанного промежутка времени.
Например:
dateRange(1) — возвращает значение true (истина) каждого первого числа каждого месяца каждого года по местному часовому поясу.
dateRange(1, «GMT») — возвращает значение true (истина) каждого первого числа каждого месяца каждого года по Гринвичу.
dateRange(1, 15) — возвращает значение true (истина) первых 15 дней каждого месяца каждого года.
dateRange(24, «DEC») — возвращает значение true (истина) 24-го декабря каждого года.
dateRange(24, «DEC», 2005) — возвращает значение true (истина) 24-го декабря 2005 года.
dateRange(«JAN», «MAR») — возвращает значение true (истина) с января по март каждого года.
dateRange(1, «JAN», 15, «AUG») — возвращает значение true (истина) с 1-го января по 15-ое августа каждого года.
dateRange(1, «JUN», 15, 2005, «AUG», 2005) — возвращает значение true (истина) с 1-го июня по 15-ое августа 2005 года.
dateRange(«OCT», 2005, «MAR», 2006) — возвращает значение true (истина) с октября 2005 года по март 2006 года включительно.
dateRange(2005) — возвращает значение true (истина) на протяжении всего 2005 года.
dateRange(2005, 2007) — возвращает значение true (истина) с 2005 года по 2007 год включительно (с начала 2005 года до конца 2007 года).

Функция timeRange. Ее возможные вариации:
timeRange(hour)
timeRange(hour1, hour2)
timeRange(hour1, min1, hour2, min2)
timeRange(hour1, min1, sec1, hour2, min2, sec2)
timeRange(hour1, min1, sec1, hour2, min2, sec2, gmt)
hour — часы с 0 до 23. (полночь — 0 часов).
min — минуты с 0 по 59.
sec — секунды с 0 по 59.
gmt — параметр учета времени по Гринвичу.
Функция возвращает значение true (истина) на протяжении всего указанного промежутка времени.
Например:
timerange(12) — возвращает значение true (истина) до 13 часов (1 часа дня).
timerange(12, 13) — то же самое, что и выше.
timerange(12, «GMT») — возвращает значение true (истина) до 13 часов (1 часа дня) по Гринвичу.
timerange(9, 17) — возвращает значение true (истина) с 9 до 17 часов.
timerange(8, 30, 17, 00) — возвращает значение true (истина) с 8 часов 30 минут до 17 часов 00 минут.
timerange(0, 0, 0, 0, 0, 30) — возвращает значение true (истина) в течении первых 30-ти секунд каждую полночь.В завершение я рассмотрю еще несколько примеров.Пример 1
function FindProxyForURL(url, host)
{
if (isPlainHostName(host) ||
dnsDomainIs(host, «.domen.ru»))
return «DIRECT»;
else
return «PROXY w3proxy.domen.ru:8080; DIRECT»;
}
Работать такой сценарии будет следующим образом. Если в имени хоста (host) не содержится имени домена или имя хоста принадлежит домену domen.ru, произойдет прямое подключение (без участия прокси). Иначе подключение к Internet идет через прокси w3proxy.domen.ru:8080. Если прокси не работает — идет прямое подключение DIRECT.

Пример 2
function FindProxyForURL(url, host)
{
if (isResolvable(host))
return «DIRECT»;
else
return «PROXY proxy.domain.com:8080»;
}
В этом примере подключение через прокси proxy.domain.com:8080 идет только в случае, если служба DNS не может разрешить имя хоста (host).

Рассмотрим немногим более сложный случай:
function FindProxyForURL(url, host)
{
if (isPlainHostName(host) ||
dnsDomainIs(host, «.domain.com») ||
isResolvable(host))
return «DIRECT»;
else
return «PROXY proxy.domain.com:8080»;
}
В этом сценарии алгоритм действий следующий: если в имени хоста (host) не содержится имени домена, или имя хоста принадлежит домену domain.com, или имя хоста может быть разрешено службой DNS — идет прямое подключение (DIRECT). В противном случае подключение идет через прокси proxy.domain.com:8080.

Пример 3
function FindProxyForURL(url, host)
{
if (isInNet(host, «198.95.0.0», «255.255.0.0»))
return «DIRECT»;
else
return «PROXY proxy.domain.com:8080»;
}
Здесь, если IP-адрес хоста принадлежит области 198.95.*.*, идет прямое подключение, иначе — через прокси proxy.domain.com:8080.

function FindProxyForURL(url, host)
{
if (isPlainHostName(host) ||
dnsDomainIs(host, «.domain.com») ||
isInNet(host, «198.95.0.0», «255.255.0.0»))
return «DIRECT»;
else
return «PROXY proxy.domain.com:8080»;
}
Здесь прямое подключение идет в случаях, когда в имени хоста не содержится имени домена, когда имя хоста принадлежит домену domain.com или когда IP-адрес хоста принадлежит области 198.95.*.*. Во всех остальных случаях подключение идет через прокси proxy.domain.com:8080.

Пример 4
Тут задача несколько сложнее. Необходимо распределить нагрузку на прокси-сервера в зависимости от доменного имени. Нужно, чтобы при доменных именах *.com связь шла через прокси proxy1.domain.com:8080, при именах *.edu — через прокси proxy2.domain.com:8080, при прочих доменных именах — через прокси proxy3.domain.com:8080, и во всех трех предыдущих случаях в качестве альтернативного использовался прокси proxy4.domain.com:8080. Помимо этого, нужно чтобы при принадлежности хоста к домену domain.com происходило прямое подключение. Сценарий, реализующий решение такой задачи, приведен ниже.
function FindProxyForURL(url, host)
{
if (isPlainHostName(host) || dnsDomainIs(host, «.domain.com»))
return «DIRECT»;
else if (shExpMatch(host, «*.com»))
return «PROXY proxy1.domain.com:8080; » +
«PROXY proxy4.domain.com:8080»;
else if (shExpMatch(host, «*.edu»))
return «PROXY proxy2.domain.com:8080; » +
«PROXY proxy4.domain.com:8080»;
else
return «PROXY proxy3.domain.com:8080; » +
«PROXY proxy4.domain.com:8080»;
}

Пример 5
В этом примере мы рассмотрим, как можно назначить различные прокси в зависимости от протоколов подключения. Для этого используем функцию url.substring(a,b). Эта функция возвращает в виде строки b букв из набранного в браузере адреса URL. То есть, если мы набрали адрес http://www.yandex.ru/, то функция url.substring(0,5) вернет нам строку «http:» (состоящую из первых 5 символов). Если мы заменим в функции число 5 на 7 — url.substring(0,7), то при том же введенном адресе функция вернет нам строку «http://» и т.д.
Итак, нам нужно, что бы при протоколе HTTP подключение шло через прокси http-proxy.domain.com:8080, при FTP — через ftp-proxy.domain.com:8080, при GOPHER — через gopher-proxy.domain.com:8080 и при протколах HTTPS и SNEWS — через security-proxy.domain.com:8080. В противном случае должно инициироваться прямое подключение (DIRECT). Решение будет следующим:

function FindProxyForURL(url, host)

{

if (url.substring(0, 5) == «http:»)
{
return «PROXY http-proxy.mydomain.com:8080»;
}

else if (url.substring(0, 4) == «ftp:»)
{
return «PROXY ftp-proxy.mydomain.com:8080»;
}

else if (url.substring(0, 7) == «gopher:»)
{
return «PROXY gopher-proxy.mydomain.com:8080»;
}

else if (url.substring(0, 6) == «https:» ||
url.substring(0, 6) == «snews:»)
{
return «PROXY security-proxy.mydomain.com:8080»;
}

else
{
return «DIRECT»;
}

}

В принципе, для решения этой задачи можно использовать и функцию shExpMatch(). Тогда строки для HTTP протокола будут выглядеть так (как для остальных протоколов, я полагаю, вполне додумаетесь сами):
…
if (shExpMatch(url, «http:*»))
{
return «PROXY http-proxy.domain.com:8080;
}
…

Функцию shExpMatch() можно использовать и для ограничения доступа пользователей к неугодным вам сайтам. Правда, это будет весьма неэффективное и трудоемкое решение данной задачи, но, за неимением лучшего, это выход. Для примера рассмотрим сценарий, запрещающий доступ к сайтам, содержащим в своем адресе URL слова sex, porno, xxx, chat.

function FindProxyForURL(url, host)

{

if (shExpMatch(host, «*sex*») || shExpMatch(host, «*porno*»)
|| shExpMatch(host, «*xxx*») || shExpMatch(host, «*chat*»))
{
return «PROXY zapret.domen.ru:80»;
}

else if (dnsDomainIs(host, «.domen.ru»))
{
return «DIRECT»;
}

else
{
return «PROXY proxy.domen.ru:8080»;
}

}

На хосте zapret.domen.ru можно создать веб-сайт с запрещающей страничкой, объясняющей пользователям, почему доступ к данной информации запрещен, либо вместо zapret.domen.ru можно указать заведомо не существующий хост, и тогда вместо запрещенных адресов URL пользователи будут получать страничку с сообщением о DNS-ошибке.

Пример 6

Как написать в скрипте автонастройки броузера IE чтобы с IP 192.168.0.0/24 все ходили на proxy1, а с 192.168.1.0/24 на proxy2

Всего записей: 102 | Зарегистр. 18-07-2004 | Отправлено: 00:07 12-01-2006

function FindProxyForURL(url, host)

{

if (isInNet(host, «192.168.0.*», «255.255.255.0»))

return «PROXY proxy1:80»;

else

return «PROXY proxy2:80»;

}

или

function FindProxyForURL(url, host)

{

if (isInNet(host, «192.168.0.*», «255.255.255.0»))

return «PROXY proxy1:80»;

else

if (isInNet(host, «192.168.1.*», «255.255.255.0»))

return «PROXY proxy2:80»;

}

txt-pac.zip

Перехват WEB трафика через протокол WPAD при помощи Intercepter-NG / Хабр

WPAD — WebProxy Auto-Discovery. Протокол автоматического получения настроек прокси в локальной сети, поддерживается практически всеми веб-браузерами и рядом других приложений.

В кратце суть его работы такова: если клиент использует DHCP для получения IP адреса, то и за урлом с настройкой прокси он обращается к своему DHCP серверу. Если DHCP не настроен на выдачу WPAD конфигурации или в сети не используется DHCP как таковой, то клиент пробует разрешить сетевое имя вида wpad.localdomain используя DNS. Если такое имя не найдено, то делается последняя попытка поиска имени ‘WPAD’ через NetBios. Если имя не найдено, клиент пробует соединиться напрямую, но если кто-то в сети сказал что он имеет имя ‘WPAD’, то клиент соединяется по 80 порту на IP ответившего хоста и затем пытается загрузить файл wpad.dat, в котором должны находиться настройки прокси.

С самого начала своего существования WPAD стал брешью в безопасности, потому что позволяет очень легко перехватить поток данных, выдавая себя за легитимный прокси сервер. Не смотря на то, что данная уязвимость существует давно и довольно легко эксплуатируется, эта атака не приобрела большой известности. Причин всего несколько.

Во первых она позволяет перехватывать только веб трафик клиента, и многим проще запустить arp poison и перехватить гораздо больше. Во вторых для ее осуществления хоть и не требуется каких-то сложных манипуляций, но все же необходимо запустить и настроить ряд сервисов:

1. Необходимо зарегистрировать в сети имя ‘WPAD’.

2. Необходимо запустить веб-сервер и создать файл wpad.dat.

3. Необходимо запустить прокси-сервер.

Если на Unix это проделывается достаточно быстро, то на Windows выполнение подобных операций требует больше времени и усилий. Дополнительно возникает проблема с переименованием в сети. Довольно подозрительно будет выглядеть компьютер с именем ‘WPAD’ в сетевом окружении, а если захочется применить инструмент вроде nbtool для того чтобы cкрытно отвечать на запросы имени ‘WPAD’, то придется остановить netbios ns службу Windows для освобождения 137 udp порта и соответственно отключиться от сети.

Тем не менее, имеется большое количество потенциальных жертв в любой сети, потому что по умолчанию Internet Explorer (а соответственно и Chrome) пытаются автоматически получить настройки прокси средствами WPAD.

В Intercepter-NG проведение атаки на WPAD полностью автоматизировано и проходит за несколько секунд.

Благодаря использованию WinPcap нет нужды прослушивать сокеты или переименовывать собственное netbios имя. Указывать конкретных жертв не требуется, выдача конфигурации происходит всем запросившим.

На выбор можно вручную указать прокси сервер, который будет выдаваться клиентам или использовать встроенный socks. В последнем случае для перехвата трафика кроме самого Intercepter-NG больше ничего не требуется.

Демонстрация работы представлена на следующих видео роликах.

Введение в WPAD — FindProxyForURL

W eb P roxy A uto- D iscovery Protocol или WPAD — это технология, которая помогает веб-браузеру автоматически определять местоположение файла PAC с помощью DNS или DHCP.

Браузер, поддерживающий как DHCP, так и DNS, сначала попытается найти файл PAC с помощью DHCP, и, если конфигурация DHCP не существует, произойдет переключение на DNS WPAD. Если ни один из них не настроен, браузер не откроется.

DHCP WPAD

DHCP WPAD — это метод определения местоположения файла PAC с помощью локальной инфраструктуры DHCP. DHCP-сервер может быть настроен с возможностью сохранения местоположения файла PAC, который может запрашивать веб-браузер. Как только опция будет найдена, веб-браузер запросит файл PAC.

Предварительные требования включают файл PAC, веб-сервер, DHCP-сервер, а также настройку любых пользовательских компьютеров для получения информации об их сетевом IP-адресе от DHCP-сервера.

Пример

• В приведенном ниже примере сетевое имя компьютера пользователя — laptop01.us.division.company.com .
• После загрузки веб-браузер выдает DHCPINFORM , запрашивая у DHCP-сервера список параметров и их конфигураций.
• Сервер DHCP отвечает сообщением DHCP ACK , содержащим список опций и конфигураций
• Один из этих параметров, 252 , содержит расположение файла PAC.Веб-браузер может выполнить запрос на загрузку файла PAC.

DNS WPAD

DNS WPAD — это метод обнаружения файла PAC через обнаружение путем использования сетевого имени компьютера пользователя и использования согласованной конфигурации DNS и имени файла сценария PAC. DNS WPAD — это наиболее широко поддерживаемый метод, поддерживаемый всеми основными браузерами и операционными системами.

Предварительные требования включают файл PAC, веб-сервер и имя хоста DNS с локальным доступом, указывающее на веб-сервер.

Пример

• В приведенном ниже примере сетевое имя компьютера пользователя — laptop01.us.division.company.com .
• PAC-файл с именем wpad.dat обслуживается веб-сервером на хосте wpad.company.com .
• Браузер с включенным DNS WPAD удалит имя машины ( laptop01 ), применит wpad к имени сети и применит в качестве суффикса файловый ресурс / wpad.dat , например http://wpad.us.division.company.com/wpad.dat .
• Браузер попытается загрузить файл PAC с адреса http://wpad.us.division.company.com/wpad.dat .
• Если веб-браузер не может разрешить хост wpad.us.division.company.com , он будет проходить через иерархию узлов поддомена и попытается загрузить файл wpad.dat с хоста wpad.division. company.com и так далее, пока не будет достигнут самый низкий допустимый узел, wpad.company.com .

.

Рецепты конфигурации pfSense — Настройка автоконфигурации WPAD для пакета Squid

Программное обеспечение

pfSense® можно настроить для обслуживания автоматического прокси
данные конфигурации для клиентов, чтобы указать пользователям на запуск squid либо
в системе pfSense или другой локальной системе, предполагая, что их системы
настройки настроены для этого поведения. Хотя данные могут быть обслужены
из брандмауэра задача лучше подходит для другого локального веб-сервера
если таковой имеется.

Примечание

Чтобы использовать веб-сервер в брандмауэре для обслуживания этих данных,
Графический интерфейс пользователя должен работать в режиме HTTP, или пакет vhosts может быть использован для
настроить альтернативный HTTP-сервер на порт 80.Ни один из них не
рекомендуется запустить отдельный локальный веб-сервер для этого
задача.

Этот процесс известен как WPAD, сокращение от Web Proxy AutoDiscovery.
Протокол.
Если веб-браузер настроен на автоматическое обнаружение, он попробует несколько
методы определения местоположения прокси.

Хост WPAD может быть предоставлен с помощью пронумерованной опции 252 DHCP (строковое значение
содержащий полный URL-адрес файла WPAD) или DNS, что легко сделать
со встроенным сервером пересылки DNS.

Зачем это нужно делать?

Для использования аутентификации squid нельзя использовать squid в прозрачном режиме.HTTPS-трафик также нельзя фильтровать в прозрачном режиме. Когда кальмар
работает в обычном режиме, IP-адрес прокси и порт должны быть настроены на каждом
клиентская машина, которая может быть утомительной. Это также может вызвать проблемы на
ноутбуки Road Warrior, которые входят и выходят из сети. Скорее, чем
сбрасывать конфигурацию прокси при каждом входе и выходе,
автоконфигурация позволит им приходить и уходить без особых проблем.

Большинство, если не все, современные браузеры поставляются с настройкой автоконфигурации.
выключен, поэтому может потребоваться нажать / ввести этот параметр, чтобы
клиентские ПК.Тем не менее, еще одним преимуществом использования автоконфигурации является то, что
если squid переместится на другой IP-адрес, нужно изменить только один файл
для информирования клиентов об обновленном IP-адресе. (Это может быть легко
снять в домене windows с AD, но не для многих других!)

Создать wpad.dat

Перед запуском необходимо создать файл wpad.dat . Это сингл
файл с функцией JavaScript, которая сообщает браузеру, как найти
имя хоста и порт прокси. Эта функция может быть такой же простой или сложной, как
желательно, в сети есть много примеров.В этом примере все
клиенты будут перенаправлены на экземпляр squid на брандмауэре.

Содержимое файла примера wpad.dat :

 функция FindProxyForURL (url, host)
{
вернуть "ПРОКСИ 192.168.1.1:3128";
}
 

Функция в этом файле сообщает браузеру искать прокси на
192.168.1.1 в порту 3128 .

Теперь загрузите этот файл в систему pfSense или другую локально доступную
веб-сервер с помощью scp или создайте его с помощью встроенного редактора файлов.В
файл должен находиться в каталоге / usr / local / www / .

Из-за того, что разные версии браузеров по-разному пытаются получить доступ
файл, этот же код должен существовать как минимум в трех разных
места:

 /usr/local/www/wpad.dat
/usr/local/www/wpad.da
/usr/local/www/proxy.pac
 

(более опытные пользователи могут сделать это из оболочки и использовать ln для ссылки
файлы.)

Мы рекомендуем указать wpad. на внутренний веб-сервер, который может ответить
запросы для wpad.dat и связанные файлы. Это может быть любая паутина
сервер, но обычно должен обслуживаться как с VirtualHost по умолчанию, так и с
а также один с именем wpad из-за различий в том, как браузеры запрашивают
файл.

Для выполнения этой работы с использованием маршрутизатора pfSense для обслуживания файла локальный IP-адрес
адреса должны иметь доступ к IP-адресу локального интерфейса
маршрутизатора pfSense. Им не нужен доступ к WebGUI с
пароль, этот файл будет обслуживаться без аутентификации.Графический интерфейс должен
также работать в режиме HTTP, который менее безопасен. Если графический интерфейс настроен на использование
HTTP, никогда не открывайте доступ к графическому интерфейсу через WAN.

Настроить DNS

Теперь настроим DNS-часть. WPAD примет доменное имя, указанное
машина, вероятно, назначенная DHCP, и добавьте wpad. . Если домен
это example.com , он будет искать wpad.example.com . Эта задача может быть
выполняется с помощью DNS Forwarder / DNS Resolver на маршрутизаторе pfSense или
с другим внутренним DNS-сервером, используемым клиентскими компьютерами.

Клиентский браузер в конечном итоге попытается получить доступ
http://wpad.example.com/wpad.dat — среди прочих. Подробнее о
имена хостов, проверенные WPAD, доступны в статье WPAD на
Википедия.

Чтобы добавить запись с помощью DNS-сервера пересылки на маршрутизаторе pfSense, перейдите к
Сервисы> DNS-сервер пересылки . Щелкните, чтобы добавить новый Host Override .

Введите следующее (замените домен и IP-адрес их фактическими
значения):

Нажмите Сохранить .

Заблокировать порт 80 из локальной сети

Создайте правило брандмауэра в НАЧАЛЕ вкладки LAN (или
интерфейс), который блокирует все, что угодно от <внутренняя подсеть> до * на порту 80.

Примечание

Если брандмауэр используется для обслуживания WPAD и антиблокировки WebGUI
правило было отключено, веб-трафик также должен быть разрешен для pfSense
Порт графического интерфейса межсетевого экрана. Если это неприемлемо, укажите wpad. к другому
внутренний веб-сервер, который может отвечать на запросы для wpad.dat и
связанные файлы.

Тестовые клиенты

Запустите браузер на клиенте за брандмауэром pfSense и посмотрите, что
бывает. Если squid настроен для аутентификации, клиент будет
приветствуется приглашением для входа в систему. В противном случае проверьте журналы Squid, чтобы убедиться, что
трафик идет через прокси. Прокси-тестовый сайт, например
http://www.lagado.com/proxy-test также может быть полезным.

Если ничего не произошло, проверьте настройки браузера. Многие современные браузеры
поставляется с отключенными настройками автоконфигурации.

Internet Explorer

• Открыть Свойства обозревателя

• Щелкните вкладку Connections

• Нажмите кнопку LAN Settings

• Проверить Автоматическое определение настроек

• Щелкните OK и OK еще раз.

Firefox

• Щелкните Инструменты (или значок с тремя полосами)

• Нажмите Опции

• Нажмите Дополнительно

• Щелкните вкладку Сеть

• Нажмите кнопку Настройки

• Выберите Параметры автоматического определения прокси для этой сети

• Нажмите ОК

.

Развертывание WPAD — FindProxyForURL

Файл PAC

Для того, чтобы функция DNS WPAD обнаружила файл PAC, переименуйте файл PAC в wpad.dat и загрузите его на свой веб-сервер.

Веб-сервер

Веб-сервер должен быть настроен для обслуживания файла PAC, wpad.dat , с правильным типом MIME.

DHCP-сервер

DHCP-сервер должен быть настроен для обслуживания записи 252 в информации DHCP, отправляемой пользователю. При настройке эта запись включает прямую ссылку на файл wpad.dat .

DNS-сервер

DNS-сервер должен быть настроен для обслуживания записи A для хоста wpad .

Развертывание браузера

В зависимости от административной среды браузеры можно настроить автоматически с помощью такого инструмента, как групповая политика, или вручную для каждого параметра подключения браузера.

.Официальный набор инструментов

— FindProxyForURL

Обзор

Набор инструментов FindProxyForURL.com разработан для обеспечения прозрачности и ясности развертываний PAC / WPAD при устранении неполадок

Несколько примеров того, как инструмент отлично подходит для устранения неполадок, включают в себя то, отправляется ли файл PAC с правильным типом MIME, имеет ли файл PAC допустимый синтаксис, какой URL-адрес выталкивается WPAD DHCP или может ли WPAD DNS определить местоположение файл PAC.

Все найденные файлы PAC автоматически загружаются и тестируются, в то время как любые значения WPAD DNS / DHCP, которые обычно трудно различить, собираются и сообщаются.

С правами администратора набор инструментов поддерживается в Windows Vista или новее, а также Windows Server 2003 и новее.

Скачать

Загрузить FindProxyForURL Toolset — версия 1.0
Последнее обновление: 30.10.2014

Развертывание

• Извлеките содержимое ZIP в папку
• Запустите Deploy_Toolset.bat, и набор инструментов выполнит свои операции и после завершения откроет файл данных.

Документация

Конфигурация Internet Explorer

Этот инструмент сообщает о состоянии конфигурации Internet Explorer . Автоматическое определение параметров. и . Использование сценария автоматической настройки. .

Если параметр «Использовать сценарий автоматической настройки » включен, инструмент попытается загрузить и проверить файл PAC. Дополнительную информацию см. В разделе «Тестирование файла PAC » ниже.

Примечание. Инструмент определяет эти параметры, читая реестр Windows, поэтому, если в этом разделе сообщается о фатальной ошибке, это может быть связано с отсутствием необходимых разрешений для доступа к реестру Windows.

Конфигурация WPAD DHCP

Этот инструмент сообщит, развернута ли на машине опция DHCP 252, содержащая URL-адрес файла PAC.

Если будет найдена опция DHCP 252, инструмент попытается загрузить и проверить файл PAC. Дополнительную информацию см. В разделе «Тестирование файла PAC » ниже.

Конфигурация WPAD DNS

Этот инструмент сообщит, может ли он угадать расположение файла PAC с помощью механизма WPAD DNS (например, префикс хоста поиска DNS с помощью wpad и суффикса с /wpad.dat)

Инструмент использует те же настройки DNS-суффикса, что и браузер; эти параметры можно просмотреть, запустив ipconfig / all из командной строки и просмотрев конфигурацию списка поиска первичных суффиксов DNS и DNS.

Если узел wpad найден, инструмент попытается загрузить и проверить файл PAC. Дополнительную информацию см. В разделе «Проверка файлов PAC» ниже.

Примечание. В некоторых случаях один и тот же DNS-узел может быть протестирован дважды, это связано с тем, что он присутствует как в конфигурации первичного DNS-суффикса, так и в конфигурации списка поиска DNS-суффикса.

Проверка файла PAC

Для каждого найденного файла PAC, независимо от того, был ли он развернут через WPAD или явную конфигурацию, инструмент выполнит следующие действия и сообщит о состоянии:

• URL-адрес PAC-файла
• Доступен ли файл PAC
• Тип содержимого, возвращенный для файла PAC
• Проверяет ли файл PAC успешно с помощью инструмента pacparser

Обратите внимание на следующее:

• В настоящее время не существует 100% надежного инструмента проверки синтаксиса файла PAC, поэтому вам всегда следует визуально просматривать файл PAC на предмет синтаксиса и проблем с правилами.
• Локальные файлы PAC не поддерживаются.

Сообщения об ошибках

• Невозможно определить состояние автоматического определения параметров
  Средству не удалось прочитать реестр Windows, убедитесь, что разрешения Windows разрешают доступ к реестру.
• Не найдены DNS-суффиксы для поиска WPAD DNS
  На компьютере, скорее всего, есть вручную настроенный сетевой адаптер и требуется настроить суффикс поиска DNS. Большинство ИТ-организаций имеют общий DNS-хост для выполнения локального разрешения хоста, например.г. ввод интрасети в ваш браузер будет работать так же, как и intranet.corp.com; это потому, что corp.com настроен как суффикс поиска DNS для вашего сетевого адаптера.

.