Un scanner ICAP a besoin d'un proxy devant lui

browser → forward proxy → website
                  ↕
             ICAP service

Configurez le navigateur pour utiliser le proxy frontal, et non le port ICAP du scanner. Le proxy est le client ICAP ; le scanner est le serveur ICAP. Un écouteur sur le port 1344 peut être sain sans comprendre les requêtes HTTP de proxy à la manière d'un navigateur ni CONNECT.

La voie latérale ICAP reçoit des messages HTTP sélectionnés pour inspection ou adaptation. Elle n'est pas forcément une autre sortie Internet dans une chaîne de proxies en série.

Choisissez l'étape selon ce qui doit être inspecté. REQMOD traite les requêtes soumises ; RESPMOD traite les réponses soumises. Un scanner de réponses n'inspecte pas les envois de lui-même. Le produit proxy retenu doit disposer du support client ICAP pour le service et l'étape dont vous avez besoin.

Dans les versions de Squid prenant en charge ICAP, les définitions de service et les règles d'accès à l'adaptation sont distinctes. Déclarer le scanner ne suffit pas pour faire passer chaque transaction par lui. Pour un service de réponses sous Squid 7, configurez ensemble la sélection du service ICAP et l'accès à l'adaptation. Définissez si une erreur de service bloque une requête ou autorise le contournement configuré, dans le cadre de l'exigence de filtrage.

Un CONNECT ordinaire laisse aussi le contenu applicatif HTTPS chiffré. Faire passer le tunnel par un proxy ne fournit pas de corps de réponse HTTP à analyser. Tout dispositif de déchiffrement TLS délibéré exige sa propre configuration compatible et la confiance du client.