Permet un port HTTPS addicional a través de Squid

Actualitza totes dues ACL de ports de Squid 6.13 i mantén una regla de destinació limitada quan un servei HTTPS autoritzat utilitza el port 8443.

Un servei HTTPS al port 8443 pot fallar a través d’un servidor intermediari Squid configurat correctament encara que l’HTTPS habitual al 443 funcioni. Examina la denegació de CONNECT i la política de ports de destinació abans de canviar el protocol de servidor intermediari del client.

En una política d’accés típica de Squid 6.13, hi ha dues comprovacions importants: la destinació ha de superar Safe_ports i CONNECT ha de superar SSL_ports. Afegir el port a una sola ACL pot deixar vigent l’altra denegació.

Amplia les definicions existents amb criteri

Per a una política que permeti els ports web habituals i un port HTTPS addicional:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Substitueix o edita les definicions corresponents per evitar que hi quedi un conjunt antic de valors inesperat. Conserva les regles habituals de denegació de ports insegurs i de CONNECT, així com les restriccions de client previstes.

Limita l’excepció

Si el port addicional només cal per a una destinació controlada, afegeix una denegació específica abans de la regla que permet el client:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

L’adreça és un valor d’exemple per a la documentació. Utilitza la destinació que administres o a la qual tens autorització per accedir i tingues en compte els canvis reals de la seva adreça. Això limita l’excepció del port addicional en lloc de permetre totes les destinacions al 8443.

Analitza la configuració activa completa i revisa l’ordre de les regles. Una denegació ben escrita situada després d’una regla coincident que permet el client no aplicarà la restricció prevista.

Prova el nom de host autoritzat amb el certificat i el port reals i després prova una destinació controlada que hagi de continuar denegada. Mantenir activada la verificació TLS permet distingir els errors d’identitat de la destinació dels errors de política del servidor intermediari. No eliminis tota la protecció de CONNECT per fer funcionar una sola petició a un port personalitzat.

Articles relacionats