Dopustite jedan dodatni HTTPS priključak kroz Squid

HTTPS usluga na priključku 8443 može zakazati kroz ispravno postavljen Squid proxy čak i kada uobičajeni HTTPS na 443 radi. Prije promjene proxy protokola klijenta provjerite odbijanje CONNECT-a i pravila odredišnih priključaka.

U tipičnim pravilima pristupa za Squid 6.13 važne su dvije provjere: odredište mora proći Safe_ports, a CONNECT mora proći SSL_ports. Dodavanje priključka samo jednom ACL-u može ostaviti drugo odbijanje na snazi.

Promišljeno proširite postojeće definicije

Za pravila koja dopuštaju uobičajene web-priključke i jedan dodatni HTTPS priključak:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Zamijenite ili uredite odgovarajuće definicije kako ne bi ostao neočekivan stari skup vrijednosti. Sačuvajte uobičajena pravila odbijanja nesigurnih priključaka i CONNECT-a, kao i predviđena ograničenja klijenata.

Ograničite iznimku

Ako je dodatni priključak potreban samo za jedno kontrolirano odredište, dodajte ciljano odbijanje prije pravila koje dopušta klijenta:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresa je primjer za dokumentaciju. Koristite odredište kojim upravljate ili kojem ste ovlašteni pristupati i uzmite u obzir stvarne promjene njegove adrese. Time ograničavate iznimku za dodatni priključak umjesto da dopustite sva odredišta na 8443.

Parsiranjem provjerite cijelu aktivnu konfiguraciju i pregledajte redoslijed pravila. Ispravno napisano odbijanje postavljeno iza odgovarajućeg pravila koje dopušta klijenta neće pružiti predviđeno ograničenje.

Testirajte odobreno ime računala sa stvarnim certifikatom i priključkom, a zatim kontrolirano odredište koje i dalje treba biti odbijeno. Ostavite TLS provjeru uključenom kako biste razlikovali pogreške identiteta odredišta od pogrešaka proxy pravila. Nemojte ukloniti cijelu CONNECT zaštitu da bi proradio jedan zahtjev na prilagođenom priključku.