დაუშვით კიდევ ერთი HTTPS პორტი Squid-ის გავლით
განაახლეთ Squid 6.13-ის პორტების ორივე ACL და შეზღუდეთ დანიშნულება, როცა დამტკიცებული HTTPS სერვისი 8443 პორტს იყენებს.
8443 პორტზე HTTPS სერვისმა შესაძლოა სწორად გამართული Squid პროქსის გავლითაც ვერ იმუშაოს, მაშინაც კი, როცა ჩვეულებრივი HTTPS 443-ზე მუშაობს. კლიენტის პროქსი პროტოკოლის შეცვლამდე შეამოწმეთ CONNECT-ის უარყოფა და დანიშნულების პორტების პოლიტიკა.
Squid 6.13-ის ტიპურ წვდომის პოლიტიკაში ორი შემოწმებაა მნიშვნელოვანი: დანიშნულებამ უნდა გაიაროს Safe_ports, ხოლო CONNECT-მა — SSL_ports. პორტის მხოლოდ ერთ ACL-ში დამატებამ შესაძლოა მეორე უარყოფა ძალაში დატოვოს.
არსებული განსაზღვრებები გააზრებულად გააფართოეთ
პოლიტიკისთვის, რომელიც ჩვეულებრივ ვებპორტებსა და ერთ დამატებით HTTPS პორტს უშვებს:
acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443შეცვალეთ ან დაარედაქტირეთ შესაბამისი განსაზღვრებები, რათა მნიშვნელობების მოულოდნელი ძველი ნაკრები არ დარჩეს. შეინარჩუნეთ არასაიმედო პორტებისა და CONNECT-ის უარყოფის ჩვეულებრივი წესები და დაგეგმილი კლიენტის შეზღუდვები.
გამონაკლისი ვიწროდ შეზღუდეთ
თუ დამატებითი პორტი მხოლოდ ერთი კონტროლირებადი დანიშნულებისთვისაა საჭირო, კლიენტის დამშვებ წესამდე დაამატეთ მიზნობრივი უარყოფა:
acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_targetმისამართი დოკუმენტაციისთვის განკუთვნილი მაგალითია. გამოიყენეთ დანიშნულება, რომელსაც მართავთ ან რომელზე წვდომის უფლებაც გაქვთ, და გაითვალისწინეთ მისი მისამართის რეალური ცვლილებები. ეს ზღუდავს დამატებითი პორტის გამონაკლისს და არ უშვებს ყველა დანიშნულებას 8443-ზე.
შეასრულეთ მთელი აქტიური კონფიგურაციის სინტაქსური ანალიზი და შეამოწმეთ წესების რიგი. სწორად დაწერილი უარყოფა, რომელიც კლიენტის შესაბამის დამშვებ წესს მოსდევს, სასურველ შეზღუდვას ვერ უზრუნველყოფს.
შეამოწმეთ დამტკიცებული ჰოსტის სახელი მისი ნამდვილი სერტიფიკატითა და პორტით, შემდეგ კი კონტროლირებადი დანიშნულება, რომელიც კვლავ აკრძალული უნდა დარჩეს. TLS შემოწმება ჩართული დატოვეთ, რათა დანიშნულების იდენტობის შეცდომები პროქსის პოლიტიკის შეცდომებისგან განასხვაოთ. ერთი არასტანდარტული პორტის მოთხოვნის ასამუშავებლად CONNECT-ის მთელი დაცვა არ წაშალოთ.