Atļaujiet vēl vienu HTTPS portu caur Squid

HTTPS pakalpojums portā 8443 var nedarboties caur pareizi konfigurētu Squid starpniekserveri, pat ja parastais HTTPS portā 443 darbojas. Pirms klienta starpniekservera protokola maiņas pārbaudiet CONNECT atteikumu un galamērķa portu politiku.

Tipiskā Squid 6.13 piekļuves politikā svarīgas ir divas pārbaudes: galamērķim jāiztur Safe_ports, bet CONNECT jāiztur SSL_ports. Pievienojot portu tikai vienam ACL, otrs atteikums var palikt spēkā.

Pārdomāti paplašiniet esošās definīcijas

Politikai, kas atļauj parastos tīmekļa portus un vēl vienu HTTPS portu:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Aizstājiet vai rediģējiet attiecīgās definīcijas, lai nepaliktu negaidīta veco vērtību kopa. Saglabājiet parastos nedrošu portu un CONNECT lieguma noteikumus, kā arī paredzētos klientu ierobežojumus.

Saglabājiet šauru izņēmumu

Ja papildu ports vajadzīgs tikai vienam kontrolētam galamērķim, pirms klientu atļaujošā noteikuma pievienojiet mērķētu liegumu:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adrese ir dokumentācijas paraugs. Izmantojiet galamērķi, ko pārvaldāt vai kuram drīkstat piekļūt, un ņemiet vērā tā faktiskās adreses izmaiņas. Tas ierobežo papildu porta izņēmumu, nevis atļauj visus galamērķus portā 8443.

Veiciet visas aktīvās konfigurācijas sintaktisko analīzi un pārskatiet noteikumu secību. Pareizi uzrakstīts liegums pēc atbilstoša klientu atļaujoša noteikuma nenodrošinās paredzēto ierobežojumu.

Pārbaudiet apstiprināto resursdatora nosaukumu ar tā īsto sertifikātu un portu, pēc tam kontrolētu galamērķi, kam joprojām jābūt liegtam. Saglabājiet TLS pārbaudi ieslēgtu, lai atšķirtu galamērķa identitātes kļūdas no starpniekservera politikas kļūdām. Nenoņemiet visu CONNECT aizsardzību, lai darbotos viens pieprasījums uz pielāgotu portu.