Squid വഴി ഒരു അധിക HTTPS പോർട്ട് അനുവദിക്കുക

443-ൽ സാധാരണ HTTPS പ്രവർത്തിക്കുന്നുണ്ടെങ്കിലും പോർട്ട് 8443-ലെ HTTPS സേവനം ശരിയായി ക്രമീകരിച്ച Squid പ്രോക്സി വഴിയും പരാജയപ്പെടാം. ക്ലയന്റിന്റെ പ്രോക്സി പ്രോട്ടോക്കോൾ മാറ്റുന്നതിനുമുമ്പ് CONNECT നിരസിക്കപ്പെട്ടത് എന്തുകൊണ്ടാണെന്നും ലക്ഷ്യസ്ഥാന പോർട്ട് നയവും പരിശോധിക്കുക.

Squid 6.13-ലെ സാധാരണ പ്രവേശന നയത്തിൽ രണ്ട് പരിശോധനകൾ പ്രധാനമാണ്: ലക്ഷ്യസ്ഥാനം Safe_ports പരിശോധനയും CONNECT, SSL_ports പരിശോധനയും കടക്കണം. ഒരു ACL-ൽ മാത്രം പോർട്ട് ചേർത്താൽ മറ്റേ നിരസിക്കൽ തുടർന്നും പ്രാബല്യത്തിലുണ്ടാകാം.

നിലവിലുള്ള നിർവചനങ്ങൾ ആലോചിച്ച് വികസിപ്പിക്കുക

സാധാരണ വെബ് പോർട്ടുകളും ഒരു അധിക HTTPS പോർട്ടും അനുവദിക്കുന്ന നയത്തിന്:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

പഴയ മൂല്യങ്ങളുടെ അപ്രതീക്ഷിത കൂട്ടം ശേഷിക്കാതിരിക്കാൻ ബന്ധപ്പെട്ട നിർവചനങ്ങൾ മാറ്റുകയോ തിരുത്തുകയോ ചെയ്യുക. സുരക്ഷിതമല്ലാത്ത പോർട്ടുകളും CONNECT-ഉം നിരസിക്കുന്ന സാധാരണ നിയമങ്ങളും ഉദ്ദേശിച്ച ക്ലയന്റ് നിയന്ത്രണങ്ങളും നിലനിർത്തുക.

ഒഴിവിന്റെ പരിധി ചുരുക്കുക

അധിക പോർട്ട് നിയന്ത്രണത്തിലുള്ള ഒരൊറ്റ ലക്ഷ്യസ്ഥാനത്തിന് മാത്രമാണ് ആവശ്യമെങ്കിൽ ക്ലയന്റിനെ അനുവദിക്കുന്ന നിയമത്തിന് മുമ്പ് ലക്ഷ്യമിട്ട നിരസിക്കൽ ചേർക്കുക:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

ഈ വിലാസം രേഖകൾക്കുള്ള ഉദാഹരണമാണ്. നിങ്ങൾ നിയന്ത്രിക്കുന്നതോ പ്രവേശിക്കാൻ അനുമതിയുള്ളതോ ആയ ലക്ഷ്യസ്ഥാനം ഉപയോഗിക്കുക; അതിന്റെ വിലാസത്തിലെ യഥാർത്ഥ മാറ്റങ്ങളും കണക്കിലെടുക്കുക. ഇത് 8443-ലെ എല്ലാ ലക്ഷ്യസ്ഥാനങ്ങളും അനുവദിക്കുന്നതിനുപകരം അധിക പോർട്ടിന്റെ ഒഴിവ് പരിമിതപ്പെടുത്തുന്നു.

സജീവമായ മുഴുവൻ കോൺഫിഗറേഷനും പാഴ്സ് ചെയ്ത് നിയമങ്ങളുടെ ക്രമം പരിശോധിക്കുക. ശരിയായി എഴുതിയ നിരസിക്കലായാലും പൊരുത്തപ്പെടുന്ന ക്ലയന്റ് അനുമതി നിയമത്തിന് ശേഷമാണെങ്കിൽ ഉദ്ദേശിച്ച നിയന്ത്രണം നൽകില്ല.

അംഗീകരിച്ച ഹോസ്റ്റ്നാമം അതിന്റെ യഥാർത്ഥ സർട്ടിഫിക്കറ്റും പോർട്ടും ഉപയോഗിച്ച് പരീക്ഷിക്കുക; തുടർന്ന് ഇനിയും നിരസിക്കപ്പെടേണ്ട നിയന്ത്രിത ലക്ഷ്യസ്ഥാനം പരീക്ഷിക്കുക. ലക്ഷ്യസ്ഥാന തിരിച്ചറിയൽ പിശകുകൾ പ്രോക്സി നയത്തിലെ പിശകുകളിൽനിന്ന് വേർതിരിക്കാൻ TLS പരിശോധന പ്രവർത്തനക്ഷമമായി നിലനിർത്തുക. ഇഷ്ടാനുസൃത പോർട്ടിലേക്കുള്ള ഒരു അഭ്യർത്ഥന പ്രവർത്തിപ്പിക്കാൻ മുഴുവൻ CONNECT സംരക്ഷണവും നീക്കരുത്.