自作サイトでのSSL通信が大学の回線に弾かれる

Question

ある数十人規模のイベントサイトを、さくらVPSにDebian Jessie, Apache2.4 (Mod-Wsgi), Python3.5 + Pyramidで制作しています。
ドメインにはお名前.comでhoge.comのようなものを登録して使っています。
名前やアドレス、所属といった個人情報を扱おうとしているのでRapidSSLで証明書を発行して使っています。

家の回線やLTE通信で訪問するぶんは問題なく動作しているのですが、大学のプロキシサーバー経由でhttps://hoge.comにアクセスすると (例えばFirefoxなら) 「正常に接続できませんでした」と弾かれます。
access.logにも訪問した形跡が無いので、実際に途中で止まっているのだと思います。
たぶん通信が制限されているのだろうなあと考えていますが、経験が浅く確信が持てません。違うかもしれません。

こういう通信が制限されうる状況に陥った際、どのような行動を取るのがベストでしょうか？
(例えば「参加登録」といったページ以外はhttp通信に変えてしまったほうが良いのでしょうか？)

Answer 1

i-Filterかなにかに出会い系サイトとしてリスティングされてるのかなーと思いましたが、タイトルを読むにHTTPなら通ってしまうんですか？ 謎ですね。

立てたSSLサイト、SSLとして問題がないかどうか https://www.ssllabs.com/ssltest/index.html で診断してみましょうか。これでレーティングいくつになるでしょう。

あとその、i-Filterのリスティングの件、例えば露骨にアウトなはずの出会い系サイト、たとえばハッピーメールあたりを学内から開くことは可能ですか？

Comments

[MasatakaMiyoshi]

すみません、httpでも通らないみたいです。
弾かれるのではなく、お名前.comに飛ばされてしまいます。
(他の回線経由だと自分のサイトに飛べるのに)
ということは、今回の質問は前提から間違ってたようです…すみません。

うちの大学では、出会い系サイトも問題なく入れるようです。
かといって、自分のサイトのSSLの評価はA-だったので、セキュリティに問題があるとも思えません。

これは、さくらのDNSサーバーが弾かれているか、そこの名前解決が利用されていないということなのでしょうか？
そしてこの症状はどうにかならないものなのでしょうか？

[yuba]

学内でnslookup hoge.comしてドメイン名は正しく解決されますか？

[yuba]

あ、手元でドメイン名解決がうまくいったとしても、ブラウザで開くときには名前解決をするのはプロキシサーバでですからあんまり意味ないですね。

するとあとは何だろう？ プロキシサーバが間違った名前解決結果をキャッシュしてしまっていてその間違った名前解決先にアクセスし続けているとか。

ドメイン名をサイトに設定する前にそのURLを学内から見てみようとしたこと、あります？

[MasatakaMiyoshi]

他大の友人に頼んで見てもらったところ、問題ないようでした。
ただ、その直後（昨日30日の午後4時頃）にサイトを訪問してみてみると、自分の大学の回線からも見ることができました。
yubaさんの仰る通り、結果がキャッシュされていたのかもしれません、、、なんにせよ、無事解決して良かったです。ありがとうございました。

Answer 2

時間経過により解決しました。
お名前.comで取得したhoge.comと自分のサイトのIPアドレスとの対応は、プロキシサーバー経由の場合、そうでない場合よりも遅れて結び付けられる場合があるようでした。
あるいは、対応関係が反映される前にhoge.comにアクセスしてしまうとキャッシュが溜まってしまうということも、ひょっとしたらあるのかもしれません。

（お二方回答ありがとうございました。直接の問題解決案だけでなく、解決における考え方を知るという点でも勉強になりました。）

Answer 3

大学のプロキシサーバーを経由した時にだけリクエストがサーバーまで届かないのなら
プロキシで弾かれているという事でしょうからここで質問するよりもそのプロキシサーバー
の管理者に聞いた方が早いのでは・・・

Comments

[MasatakaMiyoshi]

そうですか…ただ、他大学からも利用されるので、自分の大学のサーバーにだけ対策しても他で上手くいかない可能性があるのです。

自分のサイトとここやgoogleのようなhttpsのサイトのそれぞれへのアクセスの可否は、証明書の種類のせいで違ったということなのでしょうか？
それとも、例えば「制作何日以内のサイトを弾く」「アクセス数の少ないサイトは弾く」ような可能性も (もしそんなことが可能なら) ありうるのでしょうか？

欲を言えばどの大学からも (よぼどそこの通信制限が厳しくないのであれば) SSL通信でアクセスできるようにしたいのですが、難しいでしょうか？

質問だらけになってしまいすみません。
よろしくお願いします。

[HiroshiWatanabe]

その大学のプロキシがどういうセキュリティポリシーで設定されているかをここで想像しても仕方がないというか何も解決しないというか…
１度に何もかも一気にゴールまで解決を急ぐのではなく、問題の切り分けという観点から言っても、まずはご自身の大学のプロキシで何故弾かれているのかの原因を特定するのが先と割りきって順番に解決していかれたらどうですか？
原因が明確になってからそれが大学固有の規制なのか一般的に採用されているような規制なのかを判断して次の対策を考えればいいと思いますが如何でしょうか。

[MasatakaMiyoshi]

納得です。
管理者に連絡を取るのは今は難しいのですが、例えば他のプロキシサーバー経由でアクセスしてみるといったことができないか、今から少し考えてみます。