En TLS-forwardproxylytter i Squid 6.13

Squid 6.13 kan modtage forwardproxyanmodninger over TLS, når det er bygget med GnuTLS eller OpenSSL. Det beskytter klient-proxy-forbindelsen uden at opfange HTTPS-destinationens separate session.

1. Fremskaf et certifikat til det værtsnavn, klienterne bruger til at nå Squid. Begræns den private nøgle til de tjenesteidentiteter, der behøver den.
2. Tilføj en TLS-lytter med din tildelte adresse og de rigtige certifikatstier:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Behold klienternes tilladelsesliste og destinationsbegrænsninger samt godkendelsespolitikken. Lytteren giver ikke adgang. En eksisterende http_port forbliver også aktiv; fjern eller begræns den ældre lytter, hvis alle klientforbindelser skal bruge TLS. Ingen accelerator-, opfangnings- eller certifikatgenereringstilstand er nødvendig.

Parse konfigurationen, før du genindlæser den ønskede tjeneste. Parserkontrollen validerer struktur og certifikatindlæsning, ikke netværkstilgængelighed. Send efter vellykket genindlæsning en anmodning gennem TLS-endepunktet fra en tilladt klient:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Brug proxyens rigtige værtsnavn og den godkendte CA-fil. Et offentligt betroet proxycertifikat kræver muligvis ingen egen bundle. --proxy-cacert konfigurerer proxytillid og holder destinationsverificering adskilt; behold begge kontroller.

Undersøg den faktiske lytter og certifikatnavnet, og test også en kontrolleret kilde, som skal afvises. Vellykket parsing alene fastslår hverken klienttillid eller adgangsgrænsen.