Miksi selaimet voivat piilottaa Squidin HTTPS-estosivun
Ymmärrä, miksi selain voi näyttää oman tunnelivirheensä hylätylle CONNECT-pyynnölle palautetun mukautetun HTML:n sijaan.
Välityspalvelimen mukautettu estosivu näkyy HTTP-sivustolla. HTTPS-sivustolla selain näyttää sen sijaan tunnelivirheen. HTML-mallin korvaaminen uudelleen ei välttämättä muuta mitään.
Eksplisiittisen HTTP-välityspalvelimen kanssa HTTPS-käynti alkaa yleensä CONNECT-pyynnöllä. Selain pyytää välityspalvelinta avaamaan tunnelin isäntään ja porttiin. Jos Squid hylkää pyynnön, sivuston TLS-istunto ei koskaan ala.
Hylkäyksellä voi olla HTTP-tila ja vastauksen sisältö. Voit tarkastella tuota epäonnistunutta CONNECT-vastausta curlilla selaimen virhesivusta riippumatta. Se ei edellytä, että selain esittäisi toimitettua HTML:ää kohteen verkkosivuna. Selain voi hylätä CONNECT-virheen rungon ja käyttää omaa välityspalvelinvirheliittymäänsä; tarkka esitys riippuu asiakkaasta.
Jos Squidin hylkäys sisältää jo aiotun deny_info-rungon, sen tekstin, tyylitiedoston tai tiedostokäyttöoikeuksien muokkaaminen ei muuta sitä, mitä vastausvaihetta selain käsittelee. Pidä hylkäyksen tila ja käyttöloki saatavilla, jotta voit selvittää, hylättiinkö CONNECT ja miksi. Yleinen selainsivu voi piilottaa käytännön yksityiskohdat, vaikka välityspalvelin valvoo sääntöä oikein.
Estosivun tarjoaminen siepatun HTTPS-yhteyden sisällä on toinen arkkitehtuuri, johon kuuluu TLS:n päättäminen, asiakkaan luottamus ja varmenteiden käsittely. Sitä ei oteta käyttöön muokkaamalla deny_info, eikä mukautettu malli anna mitään valtuuksia esiintyä estettynä sivustona. Valitse tämä suunnittelu vain, jos se on tarpeen; muuten käytä asiakkaan saatavilla olevaa virheraportointia ja välityspalvelimen toimintalokeja.