TLS-forwardproxy-kuuntelupiste Squid 6.13:ssa

Squid 6.13 voi vastaanottaa forwardproxy-pyyntöjä TLS:n yli, kun se on koottu GnuTLS:n tai OpenSSL:n kanssa. Tämä suojaa asiakas–välityspalvelin-yhteyttä sieppaamatta HTTPS-kohteen erillistä istuntoa.

1. Hanki varmenne isäntänimelle, jota asiakkaat käyttävät Squidin tavoittamiseen. Rajoita yksityinen avain sitä tarvitseville palvelutunnuksille.
2. Lisää TLS-kuuntelupiste sinulle määritetyllä osoitteella ja oikeilla varmennepoluilla:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Säilytä asiakkaiden sallittujen lista ja kohderajoitukset sekä todennuskäytäntö. Kuuntelupiste ei anna pääsyoikeutta. Olemassa oleva http_port jää myös aktiiviseksi; poista tai rajoita vanhaa kuuntelupistettä, jos kaikkien asiakasyhteyksien on käytettävä TLS:ää. Kiihdytin-, sieppaus- tai varmenteenluontitilaa ei tarvita.

Jäsennä asetukset ennen tarkoitetun palvelun uudelleenlatausta. Jäsentimen tarkistus varmistaa rakenteen ja varmenteiden lataamisen, ei verkkotavoitettavuutta. Tee onnistuneen uudelleenlatauksen jälkeen pyyntö TLS-päätepisteen läpi sallitusta asiakkaasta:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Käytä oikeaa välityspalvelimen isäntänimeä ja hyväksyttyä CA-tiedostoa. Julkisesti luotettu välityspalvelinvarmenne ei ehkä tarvitse omaa pakettia. --proxy-cacert määrittää välityspalvelimen luottamuksen ja jättää kohteen varmennuksen erilliseksi; säilytä molemmat tarkistukset.

Tarkista todellinen kuuntelupiste ja varmenteen nimi, ja testaa myös hallitsemasi estettävä lähde. Pelkkä onnistunut jäsentäminen ei vahvista asiakkaan luottamusta eikä pääsyrajaa.