Autoriser un port HTTPS supplémentaire à travers Squid

Modifiez les deux ACL de ports de Squid 6.13 et limitez la destination lorsqu’un service HTTPS autorisé utilise le port 8443.

Un service HTTPS sur le port 8443 peut échouer à travers un proxy Squid correctement configuré alors que le HTTPS habituel sur 443 fonctionne. Examinez le refus de CONNECT et la politique des ports de destination avant de modifier le protocole de proxy du client.

Dans une politique d’accès classique de Squid 6.13, deux contrôles comptent : la destination doit passer Safe_ports et CONNECT doit passer SSL_ports. Ajouter le port à une seule ACL peut laisser l’autre refus en vigueur.

Étendre les définitions existantes avec discernement

Pour une politique autorisant les ports web habituels et un port HTTPS supplémentaire :

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Remplacez ou modifiez les définitions correspondantes pour éviter de conserver un ancien jeu de valeurs inattendu. Gardez les règles habituelles de refus des ports non sûrs et de CONNECT, ainsi que les restrictions des clients prévues.

Limiter l’exception

Si le port supplémentaire n’est nécessaire que pour une destination contrôlée, ajoutez un refus ciblé avant la règle autorisant le client :

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

L’adresse est une valeur d’exemple destinée à la documentation. Utilisez la destination que vous administrez ou à laquelle vous êtes autorisé à accéder et tenez compte des changements réels de son adresse. Cela limite l’exception du port supplémentaire au lieu d’autoriser toutes les destinations sur 8443.

Faites analyser toute la configuration active et vérifiez l’ordre des règles. Un refus correctement écrit mais placé après une règle correspondante autorisant le client n’appliquera pas la restriction voulue.

Testez le nom d’hôte autorisé avec son véritable certificat et son port réel, puis testez une destination contrôlée qui doit rester interdite. Laissez la vérification TLS activée pour distinguer les erreurs d’identité de la destination des erreurs de politique du proxy. Ne supprimez pas toute la protection CONNECT pour faire fonctionner une seule requête sur un port personnalisé.

Articles similaires