Дазвольце яшчэ адзін HTTPS-порт праз Squid

Абнавіце абодва ACL партоў у Squid 6.13 і абмяжуйце мэту, калі ўхваленая HTTPS-служба выкарыстоўвае порт 8443.

HTTPS-служба на порце 8443 можа не працаваць праз правільна наладжаны проксі Squid, нават калі звычайны HTTPS на 443 працуе. Перш чым мяняць пратакол проксі ў кліенце, праверце адмову CONNECT і палітыку мэтавых партоў.

У тыповай палітыцы доступу Squid 6.13 істотныя дзве праверкі: мэта павінна прайсці Safe_ports, а CONNECT — SSL_ports. Даданне порта толькі ў адзін ACL можа пакінуць другую адмову ў сіле.

Пашырайце існыя азначэнні абдумана

Для палітыкі, якая дазваляе звычайныя вэб-парты і яшчэ адзін HTTPS-порт:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Замяніце або адрэдагуйце адпаведныя азначэнні, каб не застаўся нечаканы стары набор значэнняў. Захавайце звычайныя правілы адмовы для небяспечных партоў і CONNECT, а таксама запланаваныя абмежаванні кліентаў.

Абмяжуйце выключэнне

Калі дадатковы порт патрэбны толькі для адной кантраляванай мэты, дадайце адрасную адмову перад правілам, якое дазваляе кліента:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Адрас — прыклад для дакументацыі. Выкарыстоўвайце мэту, якой кіруеце або да якой маеце дазволены доступ, і ўлічвайце рэальныя змены яе адраса. Гэта абмяжоўвае выключэнне для дадатковага порта, а не дазваляе ўсе мэты на 8443.

Выканайце разбор усёй актыўнай канфігурацыі і праверце парадак правілаў. Правільна запісаная адмова пасля адпаведнага правіла, якое дазваляе кліента, не забяспечыць патрэбнага абмежавання.

Праверце ўхваленае імя хоста з яго сапраўдным сертыфікатам і портам, затым кантраляваную мэту, якая павінна застацца забароненай. Пакіньце праверку TLS уключанай, каб адрозніваць памылкі ідэнтычнасці мэты ад памылак палітыкі проксі. Не выдаляйце ўсю абарону CONNECT, каб запрацаваў адзін запыт на нестандартны порт.

Падобныя артыкулы