TLS-forwardproxyfigyelő a Squid 6.13-ban

Adj TLS-képes forwardproxyfigyelőt a Squid 6.13-hoz anélkül, hogy közbeékelődnél a cél HTTPS-munkamenetébe.

A Squid 6.13 TLS-en fogadhat forwardproxykéréseket, ha GnuTLS-szel vagy OpenSSL-lel fordították. Ez a kliens–proxy kapcsolatot védi a HTTPS-cél külön munkamenetének elfogása nélkül.

  1. Szerezz tanúsítványt ahhoz az állomásnévhez, amellyel a kliensek elérik a Squidet. A privát kulcsot csak az azt igénylő szolgáltatásazonosítók érhessék el.
  2. Adj hozzá TLS-figyelőt a hozzád rendelt címmel és a valódi tanúsítványútvonalakkal:
https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Tartsd meg a kliensek engedélylistáját és a célkorlátozásokat, valamint a hitelesítési szabályzatot. A figyelő nem ad hozzáférést. A meglévő http_port is aktív marad; töröld vagy korlátozd a régi figyelőt, ha minden klienskapcsolatnak TLS-t kell használnia. Nem kell gyorsító-, elfogási vagy tanúsítványgenerálási mód.

A kívánt szolgáltatás újratöltése előtt elemeztesd a konfigurációt. Az elemző ellenőrzése a szerkezetet és a tanúsítvány betöltését vizsgálja, nem a hálózati elérhetőséget. Sikeres újratöltés után küldj kérést a TLS-végponton át egy engedélyezett kliensről:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Használd a proxy valódi állomásnevét és a jóváhagyott CA-fájlt. Nyilvánosan megbízható proxytanúsítványnál nem feltétlenül kell egyéni csomag. A --proxy-cacert a proxy bizalmát állítja be, a cél ellenőrzése külön marad; tartsd meg mindkét ellenőrzést.

Vizsgáld meg a tényleges figyelőt és a tanúsítvány nevét, majd tesztelj egy általad kezelt, elutasítandó forrást is. A sikeres elemzés önmagában nem igazolja a kliens bizalmát vagy a hozzáférési határt.

Kapcsolódó cikkek