Dopustite još jedan HTTPS port kroz Squid

HTTPS usluga na portu 8443 može zakazati kroz pravilno podešen Squid proxy čak i kada uobičajeni HTTPS na 443 radi. Prije promjene klijentovog proxy protokola provjerite odbijanje CONNECT-a i politiku odredišnih portova.

U tipičnoj politici pristupa za Squid 6.13 važne su dvije provjere: odredište mora proći Safe_ports, a CONNECT mora proći SSL_ports. Dodavanje porta samo jednom ACL-u može ostaviti drugo odbijanje na snazi.

Promišljeno proširite postojeće definicije

Za politiku koja dopušta uobičajene web portove i još jedan HTTPS port:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Zamijenite ili uredite odgovarajuće definicije umjesto da ostavite neočekivan stari skup vrijednosti. Sačuvajte uobičajena pravila za odbijanje nesigurnih portova i CONNECT-a, kao i predviđena ograničenja klijenata.

Ograničite izuzetak

Ako dodatni port treba samo za jedno kontrolisano odredište, dodajte ciljano odbijanje prije pravila koje dopušta klijenta:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresa je primjer za dokumentaciju. Koristite odredište kojim upravljate ili kojem ste ovlašteni pristupati i uzmite u obzir stvarne promjene njegove adrese. Time se ograničava izuzetak za dodatni port umjesto da se dopusti svako odredište na 8443.

Parsiranjem provjerite cijelu aktivnu konfiguraciju i pregledajte redoslijed pravila. Ispravno napisano odbijanje postavljeno poslije odgovarajućeg pravila koje dopušta klijenta neće pružiti predviđeno ograničenje.

Testirajte odobreno ime hosta s njegovim stvarnim certifikatom i portom, a zatim kontrolisano odredište koje i dalje treba biti odbijeno. Ostavite TLS provjeru uključenu kako biste razlikovali greške identiteta odredišta od grešaka proxy politike. Nemojte ukloniti cijelu CONNECT zaštitu da bi proradio jedan zahtjev na prilagođenom portu.