Stean ien ekstra HTTPS-poarte troch Squid ta
Wurkje beide poarte-ACL’s yn Squid 6.13 by en beheine de bestimming as in goedkarde HTTPS-tsjinst poarte 8443 brûkt.
In HTTPS-tsjinst op poarte 8443 kin troch in goed ynstelde Squid-proxy mislearje, ek as gewoane HTTPS op 443 wurket. Undersykje de CONNECT-wegering en it belied foar bestimmingspoarten foardat jo it proxyprotokol fan de kliïnt feroarje.
Yn in typysk tagongsbelied fan Squid 6.13 binne twa kontrôles wichtich: de bestimming moat troch Safe_ports komme en CONNECT moat troch SSL_ports komme. As jo de poarte mar oan ien ACL tafoegje, kin de oare wegering fan krêft bliuwe.
Wreidzje de besteande definysjes mei omtinken út
Foar in belied dat gewoane webpoarten en ien ekstra HTTPS-poarte tastiet:
acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443Ferfangje of bewurkje de oanbelangjende definysjes, sadat in ûnferwachte âlde samling wearden net stean bliuwt. Behâld de gewoane regels dy't ûnfeilige poarten en CONNECT wegerje en de bedoelde kliïntbeheiningen.
Hâld de útsûndering beheind
As de ekstra poarte allinnich foar ien bestimming ûnder jo kontrôle nedich is, foegje dan in rjochte wegering ta foar de regel dy't de kliïnt tastiet:
acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_targetIt adres is in foarbyld foar dokumintaasje. Brûk de bestimming dy't jo beheare of dêr't jo tagong ta hawwe meie, en hâld rekken mei echte adresferoarings. Dat beheint de útsûndering foar de ekstra poarte ynstee fan alle bestimmingen op 8443 ta te stean.
Lit de hiele aktive konfiguraasje parse en kontrolearje de folchoarder fan de regels. In goed skreaune wegering nei in oerienkommende regel dy't de kliïnt tastiet, sil de bedoelde beheining net jaan.
Test de goedkarde hostnamme mei it echte sertifikaat en de echte poarte en test dêrnei in bestimming ûnder jo kontrôle dy't wegere bliuwe moat. Hâld TLS-ferifikaasje ynskeakele om flaters yn de identiteit fan de bestimming fan flaters yn it proxybelied te ûnderskieden. Helje net de hiele CONNECT-beskerming fuort om ien fersyk nei in oanpaste poarte wurkje te litten.