Squid 6.13에 TLS 포워드 프록시 리스너 추가하기

목적지의 HTTPS 세션을 가로채지 않고 Squid 6.13에 TLS 지원 포워드 프록시 리스너를 추가합니다.

GnuTLS 또는 OpenSSL로 빌드한 Squid 6.13은 TLS를 통해 포워드 프록시 요청을 받을 수 있습니다. 이는 HTTPS 목적지의 별도 세션을 가로채지 않고 클라이언트와 프록시 사이를 보호합니다.

  1. 클라이언트가 Squid에 접속할 때 쓸 호스트 이름의 인증서를 확보하세요. 개인 키는 필요한 서비스 실행 주체만 접근하게 제한하세요.
  2. 할당된 주소와 실제 인증서 경로로 TLS 리스너를 추가하세요.
https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

클라이언트 허용 목록과 목적지 제한, 인증 정책은 유지하세요. 리스너가 접근 권한을 부여하지는 않습니다. 기존 http_port도 계속 활성 상태이므로 모든 클라이언트 연결에 TLS가 필요하다면 이전 리스너를 제거하거나 제한하세요. 가속기, 가로채기, 인증서 생성 모드는 필요 없습니다.

원하는 서비스를 다시 로드하기 전에 설정을 파싱하세요. 파서 검사는 구조와 인증서 로드를 검증하며 네트워크 도달성을 검증하지 않습니다. 성공적으로 다시 로드한 뒤 허용된 클라이언트에서 TLS 엔드포인트로 요청하세요.

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

실제 프록시 호스트 이름과 승인된 CA 파일을 사용하세요. 공적으로 신뢰되는 프록시 인증서라면 사용자 지정 번들이 필요 없을 수 있습니다. --proxy-cacert는 프록시 신뢰를 설정하고 목적지 검증은 별도로 둡니다. 두 검증을 모두 유지하세요.

실제 리스너와 인증서 이름을 확인하고 통제하에 있는 거부 대상 출발지도 테스트하세요. 파싱 성공만으로 클라이언트 신뢰나 접근 경계가 확인되지는 않습니다.

관련 글