Squid SO_ORIGINAL_DST kļūdas lasīšana
Pārbaudiet, vai skaidri konfigurēts klients ir sasniedzis pārtveršanas klausītāju, pirms pētīt Squid sākotnējā galamērķa meklēšanas neveiksmi.
NF getsockopt(SO_ORIGINAL_DST) norāda uz sākotnējā galamērķa meklēšanu. Pārtveršanas iestatījumā Squid ir jāatjauno, kur sākotnēji devās novirzītais savienojums.
Skaidri konfigurēts pārlūks apzināti sūta savus pieprasījumus starpniekserverim. Šis savienojums neiegūst NAT pārtveršanas vēsturi tikai tāpēc, ka blakus Squid klausītāja portam ir rakstīts intercept.
Tāpēc šī neatbilstība var ciest neveiksmi vēl pirms galamērķa sertifikāta nozīmes.
Sāciet ar to, kā savienojums ieradās
- Ja lietojumprogrammai ir konfigurēta starpniekservera adrese, nosakiet parasto pārsūtīšanas starpniekservera klausītāju, kas tai jāizmanto.
- Ja vārteja novirza citādi tiešu datplūsmu, pārbaudiet, vai tā sasniedz paredzēto pārtveršanas klausītāju un vai atbalstītais NAT dizains saglabā nepieciešamo galamērķa informāciju.
- Ja pastāv abi režīmi, pārbaudiet, ar kuru adresi un portu faktiski sazinājās klienta, kuram neizdodas.
Squid dokumentācija par http_port skaidri parāda atšķirību: režīma karodziņa izlaišana izvēlas pārsūtīšanas starpniekservera režīmu; intercept sagaida NAT pārtveršanu IP slānī.
Pēc tam transporta drošību aplūkojiet atsevišķi. HTTP starpniekserveris var pārnēsāt HTTPS ar CONNECT. TLS savienojumam ar starpniekserveri nepieciešams saderīgs klausītājs un klienta konfigurācija. Galamērķa datplūsmas atšifrēšana atkal ir vēl viena izvēles iespēja.
Nekopējiet veco “HTTPS risinājumu”, kas ieslēdz sertifikātu ģenerēšanu tikai tāpēc, ka galamērķa URL sākas ar HTTPS. Vispirms salabojiet klienta un klausītāja saskaņu. Ja pēc tam paliek īsta TLS kļūda, to izmeklēt būs lietderīgāk.