Proč mohou prohlížeče skrýt blokovací stránku Squid pro HTTPS
Pochopte, proč prohlížeč může zobrazit vlastní chybu tunelu místo vlastního HTML vráceného pro odmítnutý požadavek CONNECT.
Vlastní blokovací stránka proxy se zobrazuje u HTTP webu. U HTTPS webu prohlížeč místo toho zobrazí chybu tunelu. Další nahrazení HTML šablony nemusí nic změnit.
Při explicitní HTTP proxy obvykle návštěva HTTPS začíná požadavkem CONNECT. Prohlížeč žádá proxy, aby otevřela tunel k hostiteli a portu. Pokud Squid tento požadavek odmítne, TLS relace webu nikdy nezačne.
Odmítnutí může mít HTTP stav a obsah odpovědi. Můžete prozkoumat tuto neúspěšnou odpověď CONNECT pomocí curl nezávisle na chybové stránce prohlížeče. To nevyžaduje, aby prohlížeč dodané HTML prezentoval jako webovou stránku cíle. Prohlížeč může tělo chyby CONNECT zahodit a použít vlastní rozhraní chyby proxy; přesná prezentace závisí na klientovi.
Pokud odmítnutí Squid již obsahuje zamýšlené tělo deny_info, úprava jeho textu, šablony stylů nebo oprávnění souboru nemění, kterou fázi odpovědi prohlížeč zpracovává. Uchovávejte stav odmítnutí a přístupový protokol dostupné, abyste zjistili, zda byl CONNECT odmítnut a proč. Obecná stránka prohlížeče může skrýt podrobnosti zásady, zatímco proxy pravidlo správně vynucuje.
Poskytování blokovací stránky uvnitř zachyceného HTTPS spojení je jiná architektura zahrnující ukončení TLS, důvěru klienta a správu certifikátů. Nezapíná se úpravou deny_info a vlastní šablona neposkytuje žádnou pravomoc vydávat se za blokovaný web. Tento návrh zvolte jen v případě potřeby; jinak použijte dostupné hlášení chyb klienta a provozní protokoly proxy.