Egy további HTTPS-port engedélyezése a Squidon keresztül
Frissítse a Squid 6.13 mindkét port-ACL-jét, és szűken korlátozza a célt, ha egy jóváhagyott HTTPS-szolgáltatás a 8443-as portot használja.
A 8443-as porton működő HTTPS-szolgáltatás helyesen beállított Squid proxyn keresztül is meghiúsulhat, miközben a szokásos HTTPS a 443-as porton működik. Az ügyfél proxyprotokolljának módosítása előtt vizsgálja meg a CONNECT elutasítását és a célportokra vonatkozó szabályokat.
A Squid 6.13 szokásos hozzáférési szabályzatában két ellenőrzés számít: a célnak át kell jutnia a Safe_ports, a CONNECT-nek pedig az SSL_ports ellenőrzésen. Ha a portot csak az egyik ACL-hez adja hozzá, a másik elutasítás érvényben maradhat.
Megfontoltan bővítse a meglévő definíciókat
A szokásos webes portokat és egy további HTTPS-portot engedélyező szabályzathoz:
acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443Cserélje le vagy szerkessze a megfelelő definíciókat, hogy ne maradjon meg egy váratlan régi értékkészlet. Tartsa meg a nem biztonságos portok és a CONNECT elutasításának szokásos szabályait, valamint a kívánt ügyfélkorlátozásokat.
Szűken korlátozza a kivételt
Ha a további port csak egy ellenőrzött célhoz szükséges, helyezzen célzott tiltást az ügyfelet engedélyező szabály elé:
acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_targetA cím dokumentációs mintaérték. Az Ön által kezelt vagy jogosultan elérhető célt használja, és vegye figyelembe annak tényleges címváltozásait. Ez korlátozza a további port kivételét, ahelyett hogy minden célt engedélyezne a 8443-as porton.
Végezze el a teljes aktív konfiguráció szintaktikai elemzését, és ellenőrizze a szabályok sorrendjét. Az egyező, ügyfelet engedélyező szabály után elhelyezett, helyesen megírt tiltás nem biztosítja a kívánt korlátozást.
Tesztelje a jóváhagyott gépnevet annak valódi tanúsítványával és portjával, majd egy ellenőrzött célt, amelynek továbbra is tiltva kell maradnia. Hagyja bekapcsolva a TLS-ellenőrzést, hogy elkülöníthesse a célazonosság hibáit a proxyszabályzat hibáitól. Ne távolítsa el a teljes CONNECT-védelmet egyetlen egyedi portra irányuló kérés működéséért.