In Squid SO_ORIGINAL_DST-flater lêze
Kontrolearje oft in eksplisyt konfigurearre klant in ûnderskeppings-ôfharker berikt hat foardat jo in mislearre syktocht nei de oarspronklike bestimming yn Squid ûndersykje.
NF getsockopt(SO_ORIGINAL_DST) wiist op in syktocht nei de oarspronklike bestimming. Yn in ûnderskeppingsopset moat Squid weromfine wêr't de trochferwiisde ferbining oarspronklik hinne gie.
In eksplisyt konfigurearre browser stjoert syn oanfragen bewust nei de proxy. Dy ferbining krijt gjin NAT-ûnderskeppingsskiednis allinne om't intercept njonken de poarte fan 'e Squid-ôfharker stiet.
Dêrom kin dizze mismatch mislearje foardat it sertifikaat fan 'e bestimming relevant wurdt.
Begjin mei hoe't de ferbining oankaam
- As de applikaasje in proxyadres konfigurearre hat, bepale dan hokker gewoane trochstjoer-proxy-ôfharker it brûke moat.
- As in gateway oars direkte ferkear trochferwiist, kontrolearje dan oft it de bedoelde ûnderskeppings-ôfharker berikt en oft it stipe NAT-ûntwerp de needsaaklike bestimmingsynformaasje bewarret.
- As beide modi bestean, kontrolearje dan hokker adres en poarte de mislearjende klant eins oanrekke hat.
Squid syn dokumintaasje oer http_port makket it ûnderskie dúdlik: it weilitten fan in modusflag kiest trochstjoer-proxymodus; intercept ferwachtet NAT-ûnderskepping op IP-nivo.
Behannel dêrnei transpablesfeiliging apart. In HTTP-proxy kin HTTPS fia CONNECT drage. In TLS-ferbining nei de proxy freget in kompatibele ôfharker en klantkonfiguraasje. It ûntsiferjen fan bestimmingsferkear is wer in oare opsjonele mooglikheid.
Kopiearje gjin âlde “HTTPS-oplossing” dy't sertifikaatgeneraasje oanset allinne om't de bestimmings-URL mei HTTPS begjint. Reparearje earst de ôfspraak tusken de klant en de ôfharker. As der dêrnei in echte TLS-flater oerbliuwt, is dat in bettere flater om te ûndersykjen.