Een zousätzlechen HTTPS-Port duerch Squid erlaben

Aktualiséiert déi zwou Port-ACLs am Squid 6.13 a limitéiert d’Zil, wann en erlaabten HTTPS-Déngscht de Port 8443 benotzt.

En HTTPS-Déngscht um Port 8443 kann duerch e korrekt ageriichte Squid-Proxy feelen, och wann normalen HTTPS op 443 funktionéiert. Iwwerpréift d’CONNECT-Oflehnung an d’Reegele fir Zilporten, éier Dir de Proxyprotokoll vum Client ännert.

An enger typescher Zougrëffspolitik vum Squid 6.13 sinn zwou Kontrollen wichteg: d’Zil muss duerch Safe_ports kommen, a CONNECT muss duerch SSL_ports kommen. Wann Dir de Port nëmmen zu enger ACL bäifüügt, kann déi aner Oflehnung weider gëllen.

Déi bestoend Definitioune bewosst erweideren

Fir eng Politik, déi normal Webporten an een zousätzlechen HTTPS-Port erlaabt:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Ersetzt oder ännert déi entspriechend Definitiounen, fir datt keen onerwaarten ale Set vu Wäerter bestoe bleift. Behaalt déi normal Reegele fir d’Oflehnung vun onséchere Porten a CONNECT souwéi déi virgesinn Clientaschränkungen bäi.

D’Ausnam enk begrenzen

Wann den zousätzleche Port nëmme fir ee kontrolléiert Zil gebraucht gëtt, setzt eng geziilt Oflehnung virun d’Reegel, déi de Client erlaabt:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

D’Adress ass e Beispill fir Dokumentatioun. Benotzt dat Zil, dat Dir geréiert oder op dat Dir Zougrëff hutt, a berécksiichtegt reell Ännerunge vu senger Adress. Domat limitéiert Dir d’Ausnam fir den zousätzleche Port, amplaz all Zil op 8443 ze erlaben.

Loosst déi ganz aktiv Konfiguratioun parsen an iwwerpréift d’Reiefolleg vun de Reegelen. Eng korrekt geschriwwen Oflehnung no enger passender Reegel, déi de Client erlaabt, setzt déi virgesinn Aschränkung net duerch.

Test den erlaabten Hostnumm mat sengem richtegen Zertifikat a Port an duerno e kontrolléiert Zil, dat weider soll ofgeleent ginn. Loosst d’TLS-Verifikatioun aktiv, fir Feeler an der Zilidentitéit vu Feeler an der Proxypolitik z’ënnerscheeden. Huelt net de ganze CONNECT-Schutz ewech, fir eng eenzeg Ufro op engem eegene Port zum Lafen ze bréngen.

Ähnlech Artikelen