Uno scanner ICAP ha bisogno di un proxy davanti

browser → forward proxy → website
                  ↕
             ICAP service

Configurate il browser per usare il proxy forward, non la porta ICAP dello scanner. Il proxy è il client ICAP; lo scanner è il server ICAP. Un listener sulla porta 1344 può essere sano senza comprendere le richieste HTTP proxy in stile browser né CONNECT.

Il percorso laterale ICAP riceve messaggi HTTP selezionati per l'ispezione o l'adattamento. Non è necessariamente un'altra uscita Internet in una catena di proxy seriale.

Scegliete lo stadio in base a ciò che va ispezionato. REQMOD gestisce le richieste inviate; RESPMOD gestisce le risposte inviate. Uno scanner di risposte non ispeziona da solo i caricamenti. Il prodotto proxy scelto deve disporre del supporto client ICAP per il servizio e lo stadio che vi servono.

Nelle versioni di Squid con supporto ICAP, le definizioni dei servizi e le regole di accesso all'adattamento sono separate. Dichiarare lo scanner non basta perché ogni transazione vi passi. Per un servizio di risposte su Squid 7, configurate insieme la selezione del servizio ICAP e l'accesso all'adattamento. Definite se un errore del servizio blocca una richiesta o consente la deroga configurata, come parte del requisito di filtraggio.

Anche il normale CONNECT lascia cifrato il contenuto dell'applicazione HTTPS. Far passare il tunnel attraverso un proxy non fornisce un corpo di risposta HTTP da scansionare. Qualsiasi decrittografia TLS deliberata richiede una propria configurazione compatibile e la fiducia del client.