Permite un puerto HTTPS adicional a través de Squid
Actualiza ambas ACL de puertos de Squid 6.13 y conserva una regla de destino limitada cuando un servicio HTTPS autorizado usa el puerto 8443.
Un servicio HTTPS en el puerto 8443 puede fallar a través de un proxy Squid correctamente configurado aunque el HTTPS habitual en 443 funcione. Revisa la denegación de CONNECT y la política de puertos de destino antes de cambiar el protocolo de proxy del cliente.
En una política de acceso típica de Squid 6.13 importan dos comprobaciones: el destino debe superar Safe_ports y CONNECT debe superar SSL_ports. Añadir el puerto a una sola ACL puede dejar vigente la otra denegación.
Amplía las definiciones existentes de forma deliberada
Para una política que permite los puertos web habituales y un puerto HTTPS adicional:
acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443Sustituye o edita las definiciones correspondientes para evitar que quede un conjunto antiguo de valores inesperado. Conserva las reglas habituales de denegación de puertos inseguros y de CONNECT, así como las restricciones de clientes previstas.
Limita la excepción
Si el puerto adicional solo se necesita para un destino controlado, añade una denegación específica antes de la regla que permite al cliente:
acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_targetLa dirección es un valor de ejemplo para documentación. Usa el destino que administras o al que tienes autorización para acceder y contempla los cambios reales de su dirección. Esto limita la excepción del puerto adicional en vez de permitir todos los destinos en 8443.
Analiza la configuración activa completa y revisa el orden de las reglas. Una denegación bien escrita situada después de una regla coincidente que permite al cliente no aplicará la restricción prevista.
Prueba el nombre de host autorizado con su certificado y puerto reales y después prueba un destino controlado que deba seguir denegado. Mantener activa la verificación TLS permite distinguir los errores de identidad del destino de los errores de política del proxy. No elimines toda la protección de CONNECT para que funcione una sola solicitud a un puerto personalizado.