Consenti una porta HTTPS aggiuntiva tramite Squid

Aggiorna entrambe le ACL delle porte in Squid 6.13 e limita la destinazione quando un servizio HTTPS autorizzato usa la porta 8443.

Un servizio HTTPS sulla porta 8443 può non funzionare tramite un proxy Squid configurato correttamente anche se il normale HTTPS sulla 443 funziona. Esamina il rifiuto di CONNECT e la politica sulle porte di destinazione prima di cambiare il protocollo proxy del client.

In una tipica politica di accesso di Squid 6.13 contano due controlli: la destinazione deve superare Safe_ports e CONNECT deve superare SSL_ports. Aggiungere la porta a una sola ACL può lasciare in vigore l’altro rifiuto.

Estendi con attenzione le definizioni esistenti

Per una politica che consente le normali porte web e una porta HTTPS aggiuntiva:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Sostituisci o modifica le definizioni corrispondenti, evitando di lasciare in uso un vecchio insieme di valori inatteso. Mantieni le normali regole di rifiuto delle porte non sicure e di CONNECT, insieme alle restrizioni dei client previste.

Limita l’eccezione

Se la porta aggiuntiva serve solo per una destinazione controllata, aggiungi un rifiuto mirato prima della regola che consente il client:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

L’indirizzo è un segnaposto per la documentazione. Usa la destinazione che amministri o a cui sei autorizzato ad accedere e considera le effettive variazioni del suo indirizzo. In questo modo limiti l’eccezione per la porta aggiuntiva invece di consentire ogni destinazione sulla 8443.

Fai analizzare l’intera configurazione attiva e verifica l’ordine delle regole. Un rifiuto scritto correttamente ma inserito dopo una regola corrispondente che consente il client non applicherà la restrizione prevista.

Prova il nome host autorizzato con il certificato e la porta reali, poi prova una destinazione controllata che deve restare vietata. Mantenere attiva la verifica TLS permette di distinguere gli errori di identità della destinazione dagli errori della politica proxy. Non eliminare tutta la protezione CONNECT per far funzionare una sola richiesta su una porta personalizzata.

Articoli correlati