Membaca kesalahan SO_ORIGINAL_DST pada Squid

NF getsockopt(SO_ORIGINAL_DST) mengarah ke pencarian tujuan asal. Dalam penyiapan intersepsi, Squid harus memulihkan ke mana koneksi yang dialihkan sebenarnya menuju.

Peramban yang dikonfigurasi eksplisit sengaja mengirim permintaannya ke proksi. Koneksi itu tidak memperoleh riwayat intersepsi NAT hanya karena intercept tertulis di samping port pendengar Squid.

Karena itu ketidakcocokan ini bisa gagal sebelum sertifikat tujuan menjadi relevan.

Mulai dari bagaimana koneksi tiba

• Jika aplikasi memiliki alamat proksi yang dikonfigurasi, tentukan pendengar proksi penerusan biasa yang seharusnya dipakai.
• Jika gateway mengalihkan lalu lintas yang seharusnya langsung, periksa apakah lalu lintas itu mencapai pendengar intersepsi yang dimaksud dan apakah rancangan NAT yang didukung mempertahankan informasi tujuan yang diperlukan.
• Jika kedua mode ada, periksa alamat dan port mana yang benar-benar dihubungi klien yang gagal.

Dokumentasi http_port Squid menegaskan perbedaannya: menghilangkan penanda mode memilih mode proksi penerusan; intercept mengharapkan intersepsi NAT pada lapisan IP.

Setelah itu tangani keamanan transportasi secara terpisah. Proksi HTTP dapat membawa HTTPS melalui CONNECT. Koneksi TLS ke proksi memerlukan pendengar dan konfigurasi klien yang kompatibel. Mendekripsi lalu lintas tujuan adalah kemampuan opsional lain lagi.

Jangan menyalin “perbaikan HTTPS” lama yang mengaktifkan pembuatan sertifikat hanya karena URL tujuan dimulai dengan HTTPS. Perbaiki dulu kesesuaian antara klien dan pendengar. Jika setelah itu masih ada kesalahan TLS sungguhan, kesalahan itu lebih berguna untuk ditelusuri.