’n TLS-vorentoe-instaanbedienerluisteraar in Squid 6.13

Squid 6.13 kan vorentoe-instaanbedienerversoeke oor TLS aanvaar wanneer dit met GnuTLS of OpenSSL gebou is. Dit beskerm die kliënt-na-instaanbedienerskakel sonder om die HTTPS-bestemming se afsonderlike sessie te onderskep.

1. Verkry ’n sertifikaat vir die gasheernaam waarmee kliënte Squid sal bereik. Beperk die private sleutel tot die diensidentiteite wat dit nodig het.
2. Voeg ’n TLS-luisteraar met jou toegewysde adres en werklike sertifikaatpaaie by:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Behou die kliënttoelaatlys en bestemmingsbeperkings asook die verifikasiebeleid. Die luisteraar gee nie toegang nie. ’n Bestaande http_port bly ook aktief; verwyder of beperk daardie ouer luisteraar as alle kliëntverbindings TLS moet gebruik. Geen versneller-, onderskeppings- of sertifikaatgenereringsmodus is nodig nie.

Ontleed die opstelling voordat jy die bedoelde diens herlaai. Die ontlederkontrole bevestig struktuur en sertifikaatlading, nie netwerkbereikbaarheid nie. Stuur ná ’n suksesvolle herlaai ’n versoek deur die TLS-eindpunt vanaf ’n toegelate kliënt:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Gebruik die werklike instaanbedienergasheernaam en goedgekeurde CA-lêer. ’n Openbaar vertroude instaanbedienersertifikaat het dalk geen eie bundel nodig nie. --proxy-cacert stel instaanbedienervertroue in en hou bestemmingsverifikasie apart; behou albei kontroles.

Ondersoek die werklike luisteraar en sertifikaatnaam en toets ook ’n beheerde bron wat geweier moet word. Suksesvolle ontleding alleen bewys nie kliëntvertroue of die toegangsgrens nie.