Luba Squidi kaudu üks täiendav HTTPS-port

Uuenda Squid 6.13 mõlemat pordi-ACL-i ja piira sihtkohta, kui heakskiidetud HTTPS-teenus kasutab porti 8443.

HTTPS-teenus pordil 8443 võib õigesti seadistatud Squidi puhverserveri kaudu ebaõnnestuda ka siis, kui tavaline HTTPS pordil 443 töötab. Enne kliendi puhverserveriprotokolli muutmist uuri CONNECT-i keelamist ja sihtportide reegleid.

Squid 6.13 tavalises juurdepääsupoliitikas on tähtsad kaks kontrolli: sihtkoht peab läbima Safe_ports kontrolli ja CONNECT peab läbima SSL_ports kontrolli. Kui lisad pordi ainult ühte ACL-i, võib teine keeld endiselt kehtida.

Laienda olemasolevaid määratlusi läbimõeldult

Reeglite jaoks, mis lubavad tavalisi veebiporte ja üht täiendavat HTTPS-porti:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Asenda või muuda vastavaid määratlusi, et ootamatu vana väärtuste kogum ei jääks kehtima. Säilita tavalised ebaturvaliste portide ja CONNECT-i keelureeglid ning kavandatud kliendipiirangud.

Hoia erand kitsana

Kui lisaporti on vaja ainult ühe kontrollitava sihtkoha jaoks, lisa enne klienti lubavat reeglit sihitud keelureegel:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Aadress on dokumentatsiooni näidisväärtus. Kasuta sihtkohta, mida haldad või millele sul on õigus ligi pääseda, ja arvesta selle tegelike aadressimuutustega. Nii piirad lisapordi erandit, selle asemel et lubada pordil 8443 kõiki sihtkohti.

Lase kogu aktiivne konfiguratsioon parsida ja vaata üle reeglite järjekord. Õigesti kirjutatud keeld, mis asub sobiva klienti lubava reegli järel, ei rakenda kavandatud piirangut.

Testi heakskiidetud hostinime selle tegeliku sertifikaadi ja pordiga, seejärel testi kontrollitavat sihtkohta, mis peab jääma keelatuks. Hoia TLS-i kontroll sisse lülitatud, et eristada sihtkoha identiteedivigu puhverserveri reeglite vigadest. Ära eemalda kogu CONNECT-i kaitset selleks, et üks kohandatud pordi päring tööle saada.

Seotud artiklid