TLS persiunčiančio tarpinio serverio klausymosi taškas Squid 6.13

Pridėkite TLS persiunčiančio tarpinio serverio klausymosi tašką Squid 6.13 neperimdami paskirties HTTPS seanso.

Squid 6.13 gali priimti persiunčiančio tarpinio serverio užklausas per TLS, kai sukurtas su GnuTLS arba OpenSSL. Tai apsaugo kliento ir tarpinio serverio ryšį neperimant atskiro HTTPS paskirties seanso.

  1. Gaukite sertifikatą pagrindinio kompiuterio vardui, kuriuo klientai pasieks Squid. Privatų raktą leiskite naudoti tik tarnybų tapatybėms, kurioms jo reikia.
  2. Pridėkite TLS klausymosi tašką su jums priskirtu adresu ir tikrais sertifikatų keliais:
https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Išlaikykite leidžiamų klientų sąrašą ir paskirties apribojimus bei tapatumo nustatymo politiką. Klausymosi taškas nesuteikia prieigos. Esamas http_port irgi lieka aktyvus; pašalinkite arba apribokite senesnį klausymosi tašką, jei visi klientų ryšiai turi naudoti TLS. Spartintuvo, perėmimo ar sertifikatų generavimo režimo nereikia.

Išanalizuokite konfigūraciją prieš iš naujo įkeldami numatytą tarnybą. Analizatoriaus patikra patvirtina struktūrą ir sertifikatų įkėlimą, o ne tinklo pasiekiamumą. Po sėkmingo įkėlimo atlikite užklausą per TLS galinį tašką iš leidžiamo kliento:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Naudokite tikrą tarpinio serverio vardą ir patvirtintą CA failą. Viešai patikimam tarpinio serverio sertifikatui gali nereikėti savo paketo. --proxy-cacert nustato tarpinio serverio pasitikėjimą, o paskirties tikrinimą palieka atskirai; išlaikykite abi patikras.

Patikrinkite tikrą klausymosi tašką ir sertifikato vardą, tada išbandykite ir valdomą šaltinį, kuris turi būti atmestas. Vien sėkminga analizė nepatvirtina kliento pasitikėjimo ar prieigos ribos.

Susiję straipsniai