Leyfðu eina HTTPS-gátt til viðbótar í gegnum Squid

HTTPS-þjónusta á gátt 8443 getur brugðist í gegnum rétt stilltan Squid-milliþjón þótt venjulegt HTTPS á 443 virki. Skoðaðu CONNECT-höfnunina og reglur um áfangagáttir áður en þú breytir samskiptareglu biðlarans fyrir milliþjón.

Í dæmigerðum aðgangsreglum Squid 6.13 skipta tvær athuganir máli: áfangastaðurinn verður að standast Safe_ports og CONNECT verður að standast SSL_ports. Ef gáttinni er aðeins bætt við annan ACL-listann getur hin höfnunin haldist í gildi.

Útvíkkaðu núverandi skilgreiningar með yfirvegun

Fyrir reglur sem leyfa venjulegar vefgáttir og eina HTTPS-gátt til viðbótar:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Skiptu út eða breyttu viðeigandi skilgreiningum svo óvænt eldra gildasafn verði ekki áfram í notkun. Haltu venjulegum reglum sem hafna óöruggum gáttum og CONNECT, ásamt fyrirhuguðum takmörkunum á biðlara.

Haltu undanþágunni þröngri

Ef viðbótargáttin er aðeins nauðsynleg fyrir einn áfangastað undir stjórn, bættu þá við markvissri höfnun á undan reglunni sem leyfir biðlaranum aðgang:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Vistfangið er dæmi fyrir skjölun. Notaðu áfangastað sem þú stjórnar eða hefur heimild til að nálgast og taktu mið af raunverulegum breytingum á vistfangi hans. Þannig takmarkarðu undanþáguna fyrir viðbótargáttina í stað þess að leyfa alla áfangastaði á 8443.

Láttu þátta alla virku stillinguna og yfirfarðu röð reglnanna. Rétt skrifuð höfnun á eftir samsvarandi reglu sem leyfir biðlaranum aðgang veitir ekki fyrirhugaða takmörkun.

Prófaðu samþykkta hýsilheitið með raunverulegu skilríki þess og gátt og prófaðu síðan áfangastað undir stjórn sem á áfram að vera hafnað. Haltu TLS-staðfestingu virkri til að greina villur í auðkenni áfangastaðar frá villum í reglum milliþjónsins. Ekki fjarlægja alla CONNECT-vörnina til að láta eina beiðni á sérsniðinni gátt virka.