Gwrandäwr dirprwy ymlaen TLS yn Squid 6.13

Gall Squid 6.13 dderbyn ceisiadau dirprwy ymlaen dros TLS pan gaiff ei adeiladu gyda GnuTLS neu OpenSSL. Mae hyn yn diogelu’r cyswllt cleient–dirprwy heb ryng-gipio sesiwn ar wahân y gyrchfan HTTPS.

1. Mynnwch dystysgrif ar gyfer yr enw gwesteiwr y bydd cleientiaid yn ei ddefnyddio i gyrraedd Squid. Cyfyngwch ei allwedd breifat i hunaniaethau gwasanaeth sydd ei hangen.
2. Ychwanegwch wrandäwr TLS gyda’ch cyfeiriad penodedig a llwybrau tystysgrif go iawn:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Cadwch restr caniatáu cleientiaid a chyfyngiadau cyrchfan a’r polisi dilysu. Nid yw’r gwrandäwr yn rhoi mynediad. Mae hefyd yn gadael http_port presennol yn weithredol; tynnwch neu gyfyngwch y gwrandäwr hŷn os oes rhaid i bob cysylltiad cleient ddefnyddio TLS. Nid oes angen modd cyflymydd, rhyng-gipio na chynhyrchu tystysgrifau.

Dosrannwch y ffurfweddiad cyn ail-lwytho’r gwasanaeth bwriadedig. Mae gwiriad y dosrannydd yn dilysu strwythur a llwytho tystysgrifau, nid cyrhaeddiad rhwydwaith. Ar ôl ail-lwytho llwyddiannus, anfonwch gais drwy’r pwynt terfyn TLS o gleient a ganiateir:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Defnyddiwch enw gwesteiwr gwirioneddol y dirprwy a’r ffeil CA gymeradwy. Efallai na fydd angen bwndel personol ar dystysgrif dirprwy y mae ymddiriedaeth gyhoeddus ynddi. Mae --proxy-cacert yn ffurfweddu ymddiriedaeth dirprwy ac yn gadael dilysu’r gyrchfan ar wahân; cadwch y ddau wiriad.

Archwiliwch y gwrandäwr gwirioneddol ac enw’r dystysgrif, yna profwch hefyd ffynhonnell dan eich rheolaeth y dylid ei gwrthod. Ni all dosrannu llwyddiannus yn unig gadarnhau ymddiriedaeth y cleient na’r ffin mynediad.