Baimendu HTTPS ataka gehigarri bat Squid bidez

8443 atakako HTTPS zerbitzu batek huts egin dezake ondo konfiguratutako Squid proxy baten bidez, nahiz eta 443ko ohiko HTTPSak funtzionatu. Bezeroaren proxy-protokoloa aldatu aurretik, aztertu CONNECT ukapena eta helmugako ataken politika.

Squid 6.13ko ohiko sarbide-politika batean bi egiaztapen dira garrantzitsuak: helmugak Safe_ports gainditu behar du, eta CONNECTek SSL_ports gainditu behar du. Ataka ACL bakar bati gehitzeak beste ukapena indarrean uztea ekar dezake.

Zabaldu lehendik dauden definizioak arretaz

Ohiko web-atakak eta HTTPS ataka gehigarri bat baimentzen dituen politika baterako:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Ordeztu edo editatu dagozkien definizioak, ustekabeko balio zaharren multzo bat indarrean ez uzteko. Mantendu ataka ez-seguruak eta CONNECT ukatzeko ohiko arauak, baita aurreikusitako bezero-murrizketak ere.

Mugatu salbuespena

Ataka gehigarria kontrolatutako helmuga bakar baterako behar bada, gehitu ukapen zehatz bat bezeroa baimentzen duen arauaren aurretik:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Helbidea dokumentaziorako adibide bat da. Erabili zuk administratzen duzun edo atzitzeko baimena duzun helmuga, eta kontuan hartu haren benetako helbide-aldaketak. Horrek ataka gehigarriaren salbuespena mugatzen du, 8443ko helmuga guztiak baimendu beharrean.

Egin konfigurazio aktibo osoaren analisi sintaktikoa eta berrikusi arauen ordena. Bezeroa baimentzen duen arau bat datorrenaren ondoren jarritako ukapen zuzen batek ez du nahi den murrizketa ezarriko.

Probatu baimendutako ostalari-izena benetako ziurtagiri eta atakarekin; ondoren, probatu ukatuta jarraitu behar duen helmuga kontrolatu bat. TLS egiaztapena aktibatuta mantentzeak helmugaren identitate-erroreak proxy-politikaren erroreetatik bereizten laguntzen du. Ez kendu CONNECT babes osoa ataka pertsonalizatu baterako eskaera bakarra funtzionarazteko.