Squid를 통해 HTTPS 포트 하나를 추가로 허용하기

일반 HTTPS가 443에서 작동해도 포트 8443의 HTTPS 서비스는 올바르게 설정된 Squid 프록시를 통해 실패할 수 있습니다. 클라이언트의 프록시 프로토콜을 변경하기 전에 CONNECT 거부와 대상 포트 정책을 살펴보세요.

Squid 6.13의 일반적인 접근 정책에서는 두 가지 검사가 중요합니다. 대상은 Safe_ports를 통과해야 하고 CONNECT는 SSL_ports를 통과해야 합니다. 한 ACL에만 포트를 추가하면 다른 거부가 계속 적용될 수 있습니다.

기존 정의를 신중하게 확장하기

일반 웹 포트와 HTTPS 포트 하나를 추가로 허용하는 정책의 경우:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

예상치 못한 이전 값 집합이 남지 않도록 해당 정의를 교체하거나 편집하세요. 안전하지 않은 포트와 CONNECT를 거부하는 일반 규칙 및 의도한 클라이언트 제한을 유지하세요.

예외 범위를 좁게 유지하기

추가 포트가 통제된 대상 하나에만 필요하다면 클라이언트 허용 규칙 앞에 특정 대상을 제한하는 거부를 추가하세요.

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

이 주소는 문서용 예시입니다. 직접 관리하거나 접근 권한이 있는 대상을 사용하고 실제 주소 변경도 고려하세요. 이렇게 하면 8443의 모든 대상을 허용하는 대신 추가 포트 예외를 제한할 수 있습니다.

활성 설정 전체를 구문 분석하고 규칙 순서를 검토하세요. 올바르게 작성된 거부라도 일치하는 클라이언트 허용 규칙 뒤에 놓이면 의도한 제한을 제공하지 못합니다.

승인된 호스트 이름을 실제 인증서와 포트로 테스트한 다음 계속 거부되어야 하는 통제된 대상을 테스트하세요. TLS 검증을 켜 두면 대상 신원 오류와 프록시 정책 오류를 구분할 수 있습니다. 사용자 지정 포트의 요청 하나를 작동시키려고 CONNECT 보호 전체를 제거하지 마세요.