Izinkan satu port HTTPS tambahan melalui Squid

Layanan HTTPS di port 8443 dapat gagal melalui proksi Squid yang dikonfigurasi dengan benar meskipun HTTPS biasa di 443 berfungsi. Periksa penolakan CONNECT dan kebijakan port tujuan sebelum mengubah protokol proksi klien.

Dalam kebijakan akses Squid 6.13 yang umum, dua pemeriksaan penting: tujuan harus lolos Safe_ports, dan CONNECT harus lolos SSL_ports. Menambahkan port hanya ke satu ACL dapat membuat penolakan lainnya tetap berlaku.

Perluas definisi yang ada dengan cermat

Untuk kebijakan yang mengizinkan port web biasa dan satu port HTTPS tambahan:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Ganti atau edit definisi terkait agar tidak menyisakan kumpulan nilai lama yang tidak diharapkan. Pertahankan aturan penolakan port tidak aman dan CONNECT yang biasa, serta pembatasan klien yang dimaksud.

Batasi pengecualian

Jika port tambahan hanya diperlukan untuk satu tujuan yang dikendalikan, tambahkan penolakan khusus sebelum aturan yang mengizinkan klien:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Alamat tersebut adalah contoh untuk dokumentasi. Gunakan tujuan yang Anda kelola atau yang boleh Anda akses, dan perhitungkan perubahan alamat yang sebenarnya. Ini membatasi pengecualian port tambahan alih-alih mengizinkan setiap tujuan di 8443.

Lakukan penguraian seluruh konfigurasi aktif dan tinjau urutan aturan. Penolakan yang ditulis dengan benar tetapi ditempatkan setelah aturan izin klien yang cocok tidak akan memberikan pembatasan yang dimaksud.

Uji nama host yang disetujui dengan sertifikat dan port aslinya, lalu uji tujuan terkendali yang harus tetap ditolak. Biarkan verifikasi TLS aktif untuk membedakan kesalahan identitas tujuan dari kesalahan kebijakan proksi. Jangan hapus seluruh perlindungan CONNECT agar satu permintaan ke port khusus dapat berfungsi.