ICAPスキャナーの前にはプロキシが必要

browser → forward proxy → website
                  ↕
             ICAP service

ブラウザにはスキャナーのICAPポートではなく、フォワードプロキシを設定します。プロキシがICAPクライアントであり、スキャナーがICAPサーバーです。ポート1344のリスナーは、ブラウザ形式のHTTPプロキシ要求やCONNECTを理解しなくても正常に稼働していることがあります。

ICAPの側路は、検査または適応のために選択されたHTTPメッセージを受け取ります。直列プロキシ連鎖における別のインターネット出口とは限りません。

検査すべき内容に応じて段階を選びます。REQMODは送信された要求を、RESPMODは送信された応答を扱います。応答スキャナーは単独ではアップロードを検査しません。選んだプロキシ製品には、必要なサービスと段階のICAPクライアント対応が必要です。

ICAP対応のSquidでは、サービス定義と適応アクセス規則は別々です。スキャナーを宣言するだけでは、すべてのトランザクションがそこを通るわけではありません。Squid 7の応答サービスでは、ICAPサービスの選択と適応アクセスを合わせて設定してください。サービスのエラーが要求を遮断するのか、設定されたバイパスを許可するのかを、フィルタリング要件の一部として定めます。

通常のCONNECTもHTTPSアプリケーションの内容を暗号化したままにします。トンネルをプロキシ経由で通しても、検査できるHTTP応答本文は得られません。意図的なTLS復号には、独自の適合設定とクライアントの信頼が必要です。