TLS pārsūtoša starpniekservera klausītājs Squid 6.13

Pievienojiet TLS pārsūtoša starpniekservera klausītāju Squid 6.13, nepārtverot galamērķa HTTPS sesiju.

Squid 6.13 var pieņemt pārsūtoša starpniekservera pieprasījumus ar TLS, ja būvēts ar GnuTLS vai OpenSSL. Tas aizsargā klienta–starpniekservera saiti, nepārtverot atsevišķo HTTPS galamērķa sesiju.

  1. Iegūstiet sertifikātu resursdatora nosaukumam, ko klienti izmantos Squid sasniegšanai. Privāto atslēgu ierobežojiet tikai servisa identitātēm, kam tā vajadzīga.
  2. Pievienojiet TLS klausītāju ar piešķirto adresi un īstajiem sertifikātu ceļiem:
https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Saglabājiet atļauto klientu sarakstu un galamērķu ierobežojumus, kā arī autentifikācijas politiku. Klausītājs nepiešķir piekļuvi. Esošs http_port arī paliek aktīvs; noņemiet vai ierobežojiet vecāko klausītāju, ja visiem klientu savienojumiem jāizmanto TLS. Paātrinātāja, pārtveršanas vai sertifikātu ģenerēšanas režīms nav vajadzīgs.

Pirms paredzētā servisa pārlādes parsējiet konfigurāciju. Parsera pārbaude apstiprina struktūru un sertifikātu ielādi, nevis tīkla sasniedzamību. Pēc veiksmīgas pārlādes veiciet pieprasījumu caur TLS galapunktu no atļauta klienta:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Izmantojiet īsto starpniekservera resursdatora nosaukumu un apstiprināto CA failu. Publiski uzticamam starpniekservera sertifikātam var nevajadzēt savu pakotni. --proxy-cacert iestata uzticamību starpniekserverim un atstāj galamērķa pārbaudi atsevišķi; saglabājiet abas pārbaudes.

Pārbaudiet faktisko klausītāju un sertifikāta nosaukumu, pēc tam testējiet arī kontrolētu avotu, kurš jānoraida. Veiksmīga parsēšana vien nepierāda klienta uzticamību vai piekļuves robežu.

Saistītie raksti