Darllen gwall SO_ORIGINAL_DST Squid
Gwiriwch a yw cleient a ffurfweddwyd yn benodol wedi cyrraedd gwrandäwr rhyng-gipio cyn datrys methiant chwilio cyrchfan wreiddiol Squid.
Mae NF getsockopt(SO_ORIGINAL_DST) yn awgrymu chwiliad am y gyrchfan wreiddiol. Mewn trefniant rhyng-gipio, rhaid i Squid adfer i ble roedd y cysylltiad a ailgyfeiriwyd yn mynd yn wreiddiol.
Mae porwr a ffurfweddwyd yn benodol yn anfon ei geisiadau at y dirprwy yn fwriadol. Nid yw'r cysylltiad hwnnw'n cael hanes rhyng-gipio NAT dim ond oherwydd bod intercept wedi'i ysgrifennu wrth borth gwrandäwr Squid.
Felly gall yr anghysondeb hwn fethu cyn i dystysgrif y gyrchfan ddod yn berthnasol.
Dechreuwch gyda sut y cyrhaeddodd y cysylltiad
- Os oes gan y rhaglen gyfeiriad dirprwy wedi'i ffurfweddu, nodwch y gwrandäwr dirprwy ymlaen cyffredin y dylai ei ddefnyddio.
- Os yw porth yn ailgyfeirio traffig a fyddai fel arall yn uniongyrchol, gwiriwch ei fod yn cyrraedd y gwrandäwr rhyng-gipio a fwriadwyd ac bod y cynllun NAT a gefnogir yn cadw'r wybodaeth gyrchfan ofynnol.
- Os yw'r ddau fodd yn bodoli, gwiriwch pa gyfeiriad a phorth y gwnaeth y cleient sy'n methu gysylltu â nhw mewn gwirionedd.
Mae dogfennaeth http_port Squid yn gwneud y gwahaniaeth yn glir: mae hepgor baner modd yn dewis modd dirprwy ymlaen; mae intercept yn disgwyl rhyng-gipio NAT ar haen IP.
Wedyn triniwch ddiogelwch cludiant ar wahân. Gall dirprwy HTTP gludo HTTPS drwy CONNECT. Mae cysylltiad TLS i'r dirprwy angen gwrandäwr a ffurfweddiad cleient cydnaws. Mae dadgryptio traffig y gyrchfan yn allu dewisol arall.
Peidiwch â chopïo hen “atgyweiriad HTTPS” sy'n galluogi cynhyrchu tystysgrifau dim ond oherwydd bod URL y gyrchfan yn dechrau ag HTTPS. Trwsiwch gytundeb y cleient a'r gwrandäwr yn gyntaf. Os bydd gwall TLS gwirioneddol yn weddill wedyn, bydd yn wall mwy defnyddiol i ymchwilio iddo.