Leiskite dar vieną HTTPS prievadą per Squid

HTTPS paslauga 8443 prievadu gali neveikti per tinkamai sukonfigūruotą Squid tarpinį serverį, net jei įprastas HTTPS per 443 veikia. Prieš keisdami kliento tarpinio serverio protokolą, patikrinkite CONNECT atmetimą ir paskirties prievadų taisykles.

Tipinėje Squid 6.13 prieigos politikoje svarbios dvi patikros: paskirties vieta turi atitikti Safe_ports, o CONNECT turi atitikti SSL_ports. Įtraukus prievadą tik į vieną ACL, kitas atmetimas gali likti galioti.

Esamas apibrėžtis išplėskite apgalvotai

Politikai, leidžiančiai įprastus žiniatinklio prievadus ir dar vieną HTTPS prievadą:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Pakeiskite arba redaguokite atitinkamas apibrėžtis, kad neliktų netikėto seno reikšmių rinkinio. Išsaugokite įprastas nesaugių prievadų ir CONNECT atmetimo taisykles bei numatytus klientų apribojimus.

Susiaurinkite išimtį

Jei papildomo prievado reikia tik vienai kontroliuojamai paskirties vietai, prieš klientą leidžiančią taisyklę pridėkite tikslinį atmetimą:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresas yra dokumentacijos pavyzdys. Naudokite paskirties vietą, kurią administruojate arba kurią turite teisę pasiekti, ir atsižvelkite į tikrus jos adreso pokyčius. Taip apribosite papildomo prievado išimtį, užuot leidę visas paskirties vietas per 8443.

Atlikite visos aktyvios konfigūracijos sintaksinę analizę ir peržiūrėkite taisyklių eilę. Teisingai parašytas atmetimas po atitinkančios klientą leidžiančios taisyklės neužtikrins numatyto apribojimo.

Išbandykite patvirtintą kompiuterio vardą su tikruoju sertifikatu ir prievadu, tada kontroliuojamą paskirties vietą, kuri ir toliau turi būti atmetama. Palikite TLS tikrinimą įjungtą, kad atskirtumėte paskirties tapatybės klaidas nuo tarpinio serverio taisyklių klaidų. Nepašalinkite visos CONNECT apsaugos vien tam, kad veiktų viena užklausa į pasirinktinį prievadą.