Warum Browser Squids HTTPS-Sperrseite möglicherweise ausblenden

Die benutzerdefinierte Sperrseite des Proxys erscheint bei einer HTTP-Website. Bei einer HTTPS-Website zeigt der Browser stattdessen einen Tunnel-Fehler. Ein erneutes Ersetzen der HTML-Vorlage ändert möglicherweise nichts.

Bei einem expliziten HTTP-Proxy beginnt ein HTTPS-Besuch meist mit CONNECT. Der Browser bittet den Proxy, einen Tunnel zu einem Host und Port zu öffnen. Wenn Squid diese Anfrage ablehnt, beginnt die TLS-Sitzung der Website nie.

Die Ablehnung kann einen HTTP-Status und Antwortinhalt haben. Sie können diese fehlgeschlagene CONNECT-Antwort mit curl untersuchen, unabhängig von der Fehlerseite des Browsers. Das setzt nicht voraus, dass der Browser das bereitgestellte HTML als Webseite des Ziels darstellt. Ein Browser kann den Fehlerinhalt von CONNECT verwerfen und seine eigene Proxy-Fehleroberfläche verwenden; die genaue Darstellung hängt vom Client ab.

Wenn die Ablehnung von Squid bereits den beabsichtigten deny_info-Inhalt enthält, ändert das Bearbeiten von Text, Stylesheet oder Dateiberechtigungen nicht, welche Antwortstufe der Browser verarbeitet. Halten Sie den Ablehnungsstatus und das Zugriffsprotokoll verfügbar, um festzustellen, ob CONNECT abgelehnt wurde und warum. Eine allgemeine Browserseite kann Richtliniendetails verbergen, während der Proxy die Regel korrekt durchsetzt.

Eine Sperrseite innerhalb einer abgefangenen HTTPS-Verbindung bereitzustellen, ist eine andere Architektur, die TLS-Terminierung, Client-Vertrauen und Zertifikatsverwaltung umfasst. Sie wird nicht durch Bearbeiten von deny_info aktiviert, und eine benutzerdefinierte Vorlage verleiht keine Befugnis, die gesperrte Website nachzuahmen. Wählen Sie dieses Design nur, wenn es erforderlich ist; andernfalls nutzen Sie die verfügbare Fehlerberichterstattung des Clients und die Betriebsprotokolle des Proxys.