TLS-framsendingarproxy-hlustari í Squid 6.13

Squid 6.13 getur tekið við framsendingarproxy-beiðnum yfir TLS þegar það er byggt með GnuTLS eða OpenSSL. Þetta verndar tengingu biðlara við proxy án þess að grípa inn í aðskilda lotu HTTPS-áfangastaðarins.

1. Fáðu vottorð fyrir hýsilheitið sem biðlarar nota til að ná Squid. Takmarkaðu einkalykilinn við þjónustuauðkennin sem þurfa hann.
2. Bættu við TLS-hlustara með úthlutuðu vistfangi þínu og raunverulegum vottorðsslóðum:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Haltu leyfislista biðlara og áfangastaðatakmörkunum ásamt auðkenningarstefnu. Hlustarinn veitir ekki aðgang. Fyrirliggjandi http_port helst líka virkt; fjarlægðu eða takmarkaðu þann eldri hlustara ef allar biðlaratengingar verða að nota TLS. Enginn hraðals-, íhlutunar- eða vottorðsgerðahamur er nauðsynlegur.

Þáttaðu stillingarnar áður en fyrirhuguð þjónusta er endurhlaðin. Athugun þáttara staðfestir uppbyggingu og hleðslu vottorða, ekki aðgengi um net. Eftir heppnaða endurhleðslu skaltu senda beiðni um TLS-endapunktinn frá leyfðum biðlara:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Notaðu raunverulegt hýsilheiti proxy og samþykkta CA-skrá. Opinberlega traust proxy-vottorð gæti ekki þurft sérstakt safn. --proxy-cacert stillir proxy-traust og heldur sannprófun áfangastaðar aðskildri; haltu báðum prófunum.

Skoðaðu raunverulegan hlustara og vottorðsheiti og prófaðu líka uppruna undir þinni stjórn sem á að hafna. Heppnuð þáttun ein og sér staðfestir hvorki traust biðlara né aðgangsmörk.