Om 'n Squid SO_ORIGINAL_DST-fout te lees
Kontroleer of 'n eksplisiete kliënt 'n onderskeppingsluisteraar bereik het voordat jy 'n Squid-fout by die oorspronklike bestemming se opsoek ontleed.
NF getsockopt(SO_ORIGINAL_DST) dui op 'n opsoek na die oorspronklike bestemming. In 'n onderskeppingsopstelling moet Squid herwin waarheen die herleide verbinding oorspronklik gegaan het.
'n Blaaier wat eksplisiet opgestel is, stuur sy versoeke doelbewus na die volmag. Daardie verbinding kry nie NAT-onderskeppingsgeskiedenis net omdat intercept langs die Squid-luisteraar se poort geskryf staan nie.
Hierdie wanverhouding kan dus misluk voordat die bestemming se sertifikaat tersaaklik word.
Begin by hoe die verbinding daar aangekom het
- As die toepassing 'n volmagadres het, bepaal watter gewone voorwaartse-volmagluisteraar dit moet gebruik.
- As 'n poort andersins regstreekse verkeer herlei, kyk of dit die bedoelde onderskeppingsluisteraar bereik en of die ondersteunde NAT-ontwerp die vereiste bestemmingsinligting bewaar.
- As albei modusse bestaan, kyk watter adres en poort die mislukkende kliënt werklik gekontak het.
Squid se http_port-dokumentasie stel die onderskeid duidelik: om 'n modusvlag weg te laat kies voorwaartse-volmagmodus; intercept verwag NAT-onderskepping op IP-vlak.
Hanteer vervoersekuriteit dan afsonderlik. 'n HTTP-volmag kan HTTPS via CONNECT dra. 'n TLS-verbinding na die volmag vereis 'n versoenbare luisteraar en kliëntopstelling. Om bestemmingsverkeer te ontsyfer is weer 'n aparte, opsionele vermoë.
Moenie 'n ou “HTTPS-oplossing” nadoen wat sertifikaatgenerering aanskakel net omdat die bestemmings-URL met HTTPS begin nie. Herstel eers die ooreenkoms tussen die kliënt en die luisteraar. As daar daarna 'n werklike TLS-fout oorbly, is dit 'n nuttiger fout om te ondersoek.