Squid SO_ORIGINAL_DST hiba értelmezése
Ellenőrizze, hogy egy kifejezetten beállított kliens elérte-e az elfogó figyelőt, mielőtt a Squid eredeti célállomás-keresésének hibáját vizsgálná.
NF getsockopt(SO_ORIGINAL_DST) az eredeti célállomás keresésére utal. Elfogó beállításnál a Squidnek helyre kell állítania, hová indult eredetileg az átirányított kapcsolat.
A kifejezetten beállított böngésző szándékosan a proxyhoz küldi a kéréseit. Az a kapcsolat nem kap NAT-elfogási előzményeket csak azért, mert intercept szerepel a Squid figyelő portja mellett.
Ez az eltérés tehát még a cél tanúsítványának jelentősége előtt meghiúsulhat.
Kezdje azzal, hogyan érkezett a kapcsolat
- Ha az alkalmazásnak van beállított proxycíme, határozza meg a szokásos továbbítóproxy-figyelőt, amelyet használnia kell.
- Ha egy átjáró egyébként közvetlen forgalmat irányít át, ellenőrizze, hogy eléri-e a szándékolt elfogó figyelőt, és hogy a támogatott NAT-kialakítás megőrzi-e a szükséges céladatokat.
- Ha mindkét mód létezik, ellenőrizze, melyik címre és portra csatlakozott valójában a hibázó kliens.
A Squid http_port dokumentációja egyértelműen megkülönböztet: a módjelző elhagyása továbbítóproxy-módot választ; a intercept IP-szintű NAT-elfogást vár.
Ezután a szállítási biztonságot külön kezelje. Egy HTTP-proxy HTTPS-t tud továbbítani CONNECT-tel. A proxy felé irányuló TLS-kapcsolat kompatibilis figyelőt és kliensbeállítást igényel. A célforgalom visszafejtése megint külön, opcionális képesség.
Ne másoljon régi “HTTPS-megoldást”, amely bekapcsolja a tanúsítványgenerálást csak azért, mert a cél URL HTTPS-sel kezdődik. Először a kliens és a figyelő összhangját javítsa. Ha utána valódi TLS-hiba marad, az hasznosabb hiba lesz a vizsgálathoz.