Ein ICAP-Scanner braucht einen Proxy davor

browser → forward proxy → website
                  ↕
             ICAP service

Stellen Sie den Browser so ein, dass er den Forward-Proxy nutzt, nicht den ICAP-Port des Scanners. Der Proxy ist der ICAP-Client, der Scanner der ICAP-Server. Ein Listener auf Port 1344 kann einwandfrei arbeiten, ohne browserartige HTTP-Proxy-Anfragen oder CONNECT zu verstehen.

Der ICAP-Nebenpfad nimmt ausgewählte HTTP-Nachrichten zur Prüfung oder Adaption entgegen. Er ist nicht zwangsläufig ein weiterer Internetausgang in einer seriellen Proxykette.

Wählen Sie die Stufe danach, was geprüft werden soll. REQMOD verarbeitet übermittelte Anfragen, RESPMOD übermittelte Antworten. Ein Antwortscanner prüft nicht von sich aus Uploads. Das gewählte Proxy-Produkt braucht ICAP-Client-Unterstützung für den Dienst und die Stufe, die Sie benötigen.

In Squid-Versionen mit ICAP-Unterstützung sind Dienstdefinitionen und Regeln für den Adaptionszugriff getrennt. Den Scanner zu deklarieren genügt nicht, damit jede Transaktion ihn durchläuft. Für einen Antwortdienst unter Squid 7 konfigurieren Sie Dienstauswahl und Adaptionszugriff gemeinsam. Legen Sie als Teil der Filteranforderung fest, ob ein Dienstfehler eine Anfrage blockiert oder die konfigurierte Umgehung erlaubt.

Auch gewöhnliches CONNECT lässt HTTPS-Anwendungsinhalte verschlüsselt. Ein Tunnel durch einen Proxy liefert keinen zu prüfenden HTTP-Antwortkörper. Jede bewusste TLS-Entschlüsselung erfordert eine eigene passende Einrichtung und das Vertrauen der Clients.