Apache AllowCONNECT και θύρες προορισμού HTTPS

Ο διακομιστής μεσολάβησης Apache ακούει στη θύρα 3128. Ένας πελάτης τον προσεγγίζει επιτυχώς, αλλά μια υπηρεσία HTTPS στη θύρα 8443 αποτυγχάνει. Η αλλαγή της θύρας ακρόασης του μεσολαβητή είναι απίθανο να αντιμετωπίσει αυτή τη συγκεκριμένη διάκριση.

Ο πελάτης συνδέεται πρώτα στον ακροατή του μεσολαβητή. Στη συνέχεια το αίτημα CONNECT του ονομάζει ξεχωριστό κεντρικό υπολογιστή και θύρα προορισμού. Το Apache μπορεί να δεχτεί την πρώτη σύνδεση και να απορρίψει τη δεύτερη λειτουργία.

Διαβάστε το AllowCONNECT ως πολιτική προορισμού

Για το Apache 2.4, το mod_proxy_connect χειρίζεται τα εισερχόμενα αιτήματα CONNECT. Η οδηγία AllowCONNECT ελέγχει τις θύρες προορισμού που είναι διαθέσιμες σε αυτά τα αιτήματα. Η τεκμηριωμένη προεπιλογή είναι 443 και 563.

AllowCONNECT 443 8443

Αυτό το παράδειγμα επιλέγει αυτές τις δύο θύρες προορισμού. Αντικαθιστά την προεπιλεγμένη επιλογή· δεν προσθέτει το 8443 διατηρώντας σιωπηλά κάθε προεπιλεγμένη θύρα. Χρησιμοποιήστε την οδηγία στη σχετική διαμόρφωση διακομιστή ή εικονικού κεντρικού υπολογιστή.

Διατηρήστε τους κανόνες εξουσιοδότησης πελατών του μεσολαβητή στη θέση τους. Μια επιτρεπόμενη θύρα προορισμού δεν λέει τίποτα για το ποιος πελάτης μπορεί να χρησιμοποιήσει την υπηρεσία και δεν υποκαθιστά περιορισμό κεντρικού υπολογιστή προορισμού όταν χρειάζεται.

Ένα παράδειγμα αντίστροφου μεσολαβητή απαντά σε άλλο ερώτημα

Τα αποτελέσματα αναζήτησης για Apache και HTTPS συχνά δείχνουν έναν δημόσιο ιστότοπο να προωθεί σε σταθερό backend. Αυτή η διαμόρφωση δεν είναι ο τρόπος με τον οποίο ένα πρόγραμμα περιήγησης ζητά από έναν μεσολαβητή προώθησης να ανοίξει σήραγγα CONNECT σε επιλεγμένο ιστότοπο. Η αντιγραφή των οδηγιών δρομολόγησής του μπορεί να αφήσει το αρχικό πρόβλημα του μεσολαβητή ανέπαφο.

Κατά τη διάγνωση μιας αποτυχίας, καταγράψτε τον ακροατή που προσέγγισε ο πελάτης, την αρχή CONNECT που ζήτησε και την απάντηση του μεσολαβητή. Αν το CONNECT πετύχει και το TLS αποτύχει στη συνέχεια, η άδεια θύρας προορισμού έχει ήδη κάνει το μέρος της. Συνεχίστε με την αποτυχία TLS αντί να διευρύνετε επανειλημμένα το AllowCONNECT.