Επιτρέψτε μία επιπλέον θύρα HTTPS μέσω Squid

Ενημερώστε και τις δύο ACL θυρών του Squid 6.13 και περιορίστε τον προορισμό όταν εγκεκριμένη υπηρεσία HTTPS χρησιμοποιεί τη θύρα 8443.

Μια υπηρεσία HTTPS στη θύρα 8443 μπορεί να αποτυγχάνει μέσω σωστά ρυθμισμένου διακομιστή μεσολάβησης Squid, ακόμη κι όταν το συνηθισμένο HTTPS στη 443 λειτουργεί. Εξετάστε την απόρριψη CONNECT και την πολιτική θυρών προορισμού πριν αλλάξετε το πρωτόκολλο μεσολάβησης του πελάτη.

Σε μια τυπική πολιτική πρόσβασης Squid 6.13 έχουν σημασία δύο έλεγχοι: ο προορισμός πρέπει να περάσει το Safe_ports και το CONNECT πρέπει να περάσει το SSL_ports. Η προσθήκη της θύρας μόνο σε μία ACL μπορεί να αφήσει την άλλη απόρριψη σε ισχύ.

Επεκτείνετε προσεκτικά τους υπάρχοντες ορισμούς

Για μια πολιτική που επιτρέπει τις συνηθισμένες θύρες ιστού και μία επιπλέον θύρα HTTPS:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Αντικαταστήστε ή επεξεργαστείτε τους αντίστοιχους ορισμούς, ώστε να μη μείνει ένα απροσδόκητο παλιό σύνολο τιμών. Διατηρήστε τους συνήθεις κανόνες απόρριψης μη ασφαλών θυρών και CONNECT, καθώς και τους προβλεπόμενους περιορισμούς πελατών.

Κρατήστε την εξαίρεση περιορισμένη

Αν η επιπλέον θύρα χρειάζεται μόνο για έναν ελεγχόμενο προορισμό, προσθέστε στοχευμένη απόρριψη πριν από τον κανόνα που επιτρέπει τον πελάτη:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Η διεύθυνση είναι ενδεικτική για τεκμηρίωση. Χρησιμοποιήστε τον προορισμό που διαχειρίζεστε ή στον οποίο έχετε εξουσιοδοτημένη πρόσβαση και λάβετε υπόψη τις πραγματικές αλλαγές της διεύθυνσής του. Αυτό περιορίζει την εξαίρεση της επιπλέον θύρας αντί να επιτρέπει κάθε προορισμό στη 8443.

Κάντε συντακτική ανάλυση ολόκληρης της ενεργής διαμόρφωσης και εξετάστε τη σειρά των κανόνων. Μια σωστά γραμμένη απόρριψη μετά από αντίστοιχο κανόνα που επιτρέπει τον πελάτη δεν θα επιβάλει τον επιθυμητό περιορισμό.

Δοκιμάστε το εγκεκριμένο όνομα κεντρικού υπολογιστή με το πραγματικό πιστοποιητικό και τη θύρα του και έπειτα έναν ελεγχόμενο προορισμό που πρέπει να συνεχίσει να απορρίπτεται. Κρατήστε ενεργή την επαλήθευση TLS για να διακρίνετε σφάλματα ταυτότητας προορισμού από σφάλματα πολιτικής μεσολάβησης. Μην αφαιρέσετε όλη την προστασία CONNECT για να λειτουργήσει ένα μόνο αίτημα σε προσαρμοσμένη θύρα.

Σχετικά άρθρα