SquidでHTTPSポートをもう1つ許可する

通常のHTTPSが443で動作していても、ポート8443のHTTPSサービスは、正しく設定されたSquidプロキシ経由で失敗することがあります。クライアントのプロキシプロトコルを変更する前に、CONNECTの拒否と接続先ポートのポリシーを確認してください。

Squid 6.13の一般的なアクセスポリシーでは、2つの確認が重要です。接続先がSafe_portsを通過し、CONNECTがSSL_portsを通過する必要があります。片方のACLにだけポートを追加すると、もう一方の拒否が残ることがあります。

既存の定義を意図的に拡張する

通常のWebポートと追加のHTTPSポート1つを許可するポリシーなら、次のようにします。

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

対応する定義を置き換えるか編集し、想定外の古い値の組み合わせが残らないようにしてください。危険なポートやCONNECTを拒否する通常のルールと、意図したクライアント制限は維持します。

例外の範囲を狭くする

追加ポートが管理下の接続先1つだけに必要なら、クライアントの許可ルールより前に、対象を絞った拒否を追加します。

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

このアドレスは文書用の例です。自分が管理するか、アクセスを許可されている接続先を使い、実際のアドレス変更も考慮してください。これにより、8443上のすべての接続先を許可せず、追加ポートの例外を限定できます。

有効な設定全体を構文解析し、ルールの順序を確認します。正しく記述された拒否でも、一致するクライアント許可ルールの後に置くと、意図した制限は働きません。

承認済みホスト名を実際の証明書とポートでテストし、次に引き続き拒否されるべき管理下の接続先をテストします。TLS検証を有効にしておくと、接続先の識別に関するエラーとプロキシポリシーのエラーを区別できます。カスタムポートへの1件のリクエストを動作させるために、CONNECTの保護全体を削除しないでください。