O Squid intercepta essa solicitação e a redireciona para o servidor Squidguard que vê o domínio do Facebook bloqueado e retorna a mensagem HTTPS “403 Blocked” para o Squid.
O navegador espera obter o handshake SSL do Facebook de volta e, em vez disso, vê algum fluxo de bytes inesperados (a resposta 403 Blocked ) e exibe uma mensagem padrão "Não é possível conectar-se ao site usando HTTPS" ao usuário, em vez da mensagem 403 Blocked esperada .*
Sei que essa é uma limitação conhecida de todos os navegadores conforme os links a seguir - https://bugzilla.mozilla.org/show_bug.cgi?id=479880 e http://wiki.squid-cache.org/Features/MimicSslServerCert
Mas muitas empresas proprietárias conseguem contornar isso de alguma forma. Acredito que podemos encontrar uma solução também para essa questão, tem mais alguém interessado na solução?
O que vc deseja fazer é possível em um ambiente com proxy transparente (via redirecionamento de porta), ou seja, o default gateway da rede filtra a URL listada no seu arquivo de blacklist.
Usando configurações de proxy convencionais (configurando proxy no navegador), isto não é possível, por conta da própria natureza do SSL. (dê uma lida a respeito)
O que empresas de grife fazem nada mais é que, filtrar a URL em modo "transparente" e em seguida, capturam o IP de origem do acesso, consultam o Active Diretory (previamente atrelado ao proxy, geralmente via RPC ou WMI) e consultam quem é que está logado na máquina naquele momento e naquele IP, com isso, consegue-se mostrar o usuário que tentou acessar a página bloqueada no relatório de acesso/bloqueio.
Se você deseja "apenas" bloquear um Site e mostrar uma página customizada em vez do site, é bem simples. Basta usar o proxy em modo transparente.
Lembrando que, se o proxy não conhece o usuário que está acessando, O SquidGuard também não fará o filtro baseado em "Grupos do AD", por isso algumas pessoas colocam plug-ins customizados (como mencionei acima sobre as empresas de grife) que permitem identificar o usuário, mesmo usando proxy transparente.
Você se engana quando diz que não é possível fazer utilizando as configurações convencionais , eu uso em alguns clientes, veja um exemplo:
O que não funciona (Exibição da Pagina de Bloqueio para sites HTTPS ) é quando é integrado com Squidguard o que pra mim é um problema pois considero uma excelente ferramenta.
Lembrando que não há nenhum problema mais quando usado em conjunto, os bloqueios são realizados corretamente, o que ocorre é apenas a exibição da mensagem de bloqueio que não é exibida quando o acesso negado é um HTTPS conforme imagem acima.
Está faltando detalhes nessa história. (que proxy é esse e como foi configurado o browser, detalhes do certificado carregado na página - Você deve estar usando MITM - Man in the Middle).
(Sobre HTTPS) Quando o browser inicia o CONNECT, espera uma mensagem de volta, que não deve ser diferente de "200 tunnel ready" - caso seja diferente disso, fará com que o browser apresente mensagem de erro.