Дозволете уште една HTTPS порта преку Squid

Ажурирајте ги двата ACL за порти во Squid 6.13 и ограничете ја целта кога одобрена HTTPS услуга користи порта 8443.

HTTPS услуга на порта 8443 може да не работи преку правилно конфигуриран Squid прокси, дури и кога обичниот HTTPS на 443 работи. Пред да го менувате прокси-протоколот на клиентот, проверете ги одбивањето на CONNECT и политиката за одредишни порти.

Во типична политика за пристап на Squid 6.13 важни се две проверки: одредиштето мора да помине Safe_ports, а CONNECT мора да помине SSL_ports. Додавањето на портата само во еден ACL може да го остави другото одбивање во сила.

Промислено проширете ги постојните дефиниции

За политика што дозволува вообичаени веб-порти и уште една HTTPS порта:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Заменете ги или уредете ги соодветните дефиниции за да не остане неочекуван стар сет вредности. Зачувајте ги вообичаените правила за одбивање небезбедни порти и CONNECT, како и предвидените ограничувања за клиентите.

Ограничете го исклучокот

Ако дополнителната порта е потребна само за едно контролирано одредиште, додајте насочено одбивање пред правилото што го дозволува клиентот:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Адресата е пример за документација. Користете го одредиштето што го администрирате или до кое имате овластен пристап и земете ги предвид вистинските промени на неговата адреса. Ова го ограничува исклучокот за дополнителната порта наместо да дозволи секое одредиште на 8443.

Направете синтаксна анализа на целата активна конфигурација и проверете го редоследот на правилата. Правилно напишано одбивање по соодветно правило што го дозволува клиентот нема да го обезбеди предвиденото ограничување.

Тестирајте го одобреното име на хост со вистинскиот сертификат и порта, а потоа контролирано одредиште што треба да остане одбиено. Оставете ја проверката TLS вклучена за да ги разликувате грешките во идентитетот на одредиштето од грешките во прокси-политиката. Не отстранувајте ја целата CONNECT заштита за да проработи едно барање на приспособена порта.

Поврзани статии