TLS naslouchání forward proxy ve Squid 6.13

Squid 6.13 může přijímat požadavky forward proxy přes TLS, pokud je sestaven s GnuTLS nebo OpenSSL. Chrání tak spojení klient–proxy bez zachytávání samostatné relace cíle HTTPS.

1. Získejte certifikát pro jméno hostitele, kterým klienti dosáhnou Squidu. Soukromý klíč zpřístupněte pouze identitám služby, které jej potřebují.
2. Přidejte TLS naslouchání s přidělenou adresou a skutečnými cestami k certifikátům:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Zachovejte seznam povolených klientů a omezení cílů i pravidla ověřování. Naslouchání neuděluje přístup. Stávající http_port také zůstává aktivní; pokud musí všechny klientské spoje používat TLS, starší naslouchání odstraňte nebo omezte. Není potřeba režim akcelerátoru, zachytávání ani generování certifikátů.

Před opětovným načtením určené služby zkontrolujte konfiguraci parserem. Kontrola ověřuje strukturu a načtení certifikátů, ne síťovou dosažitelnost. Po úspěšném načtení odešlete požadavek přes TLS koncový bod z povoleného klienta:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Použijte skutečné jméno hostitele proxy a schválený soubor CA. Veřejně důvěryhodný certifikát proxy nemusí vyžadovat vlastní balíček. --proxy-cacert nastavuje důvěru k proxy a ověření cíle ponechává oddělené; zachovejte obě kontroly.

Zkontrolujte skutečné naslouchání a jméno certifikátu, pak otestujte také ovládaný zdroj, který má být odmítnut. Samotné úspěšné parsování nepotvrzuje důvěru klienta ani hranici přístupu.