Un punt d’escolta TLS de proxy de sortida a Squid 6.13

Squid 6.13 pot acceptar peticions de proxy de sortida sobre TLS si s’ha compilat amb GnuTLS o OpenSSL. Això protegeix l’enllaç client–proxy sense interceptar la sessió independent de la destinació HTTPS.

1. Obtén un certificat per al nom d’amfitrió que faran servir els clients per arribar a Squid. Limita la clau privada a les identitats de servei que la necessiten.
2. Afegeix un punt d’escolta TLS amb l’adreça assignada i les rutes reals dels certificats:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Conserva la llista de clients permesos i les restriccions de destinació, a més de la política d’autenticació. El punt d’escolta no concedeix accés. Un http_port existent també continua actiu; elimina o limita aquella escolta anterior si totes les connexions dels clients han de fer servir TLS. No cal cap mode accelerador, d’intercepció ni de generació de certificats.

Analitza la configuració abans de recarregar el servei previst. La comprovació de l’analitzador valida l’estructura i la càrrega dels certificats, no l’accessibilitat de xarxa. Després d’una recàrrega correcta, envia una petició pel punt de connexió TLS des d’un client permès:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Fes servir el nom real del proxy i el fitxer CA aprovat. Un certificat de proxy de confiança pública pot no necessitar cap paquet personalitzat. --proxy-cacert configura la confiança del proxy i manté separada la verificació de destinació; conserva totes dues comprovacions.

Inspecciona el punt d’escolta real i el nom del certificat, i prova també un origen controlat que s’hagi de rebutjar. Una anàlisi correcta per si sola no estableix la confiança del client ni el límit d’accés.