Squid-ээр нэг нэмэлт HTTPS порт зөвшөөрөх

443 дээрх ердийн HTTPS ажиллаж байсан ч 8443 портын HTTPS үйлчилгээ зөв тохируулсан Squid проксигоор дамжихдаа ажиллахгүй байж болно. Клиентийн прокси протоколыг өөрчлөхөөс өмнө CONNECT татгалзлыг болон зорилтот портын бодлогыг шалгаарай.

Squid 6.13-ийн ердийн хандалтын бодлогод хоёр шалгалт чухал: зорилго Safe_ports шалгалтыг, CONNECT нь SSL_ports шалгалтыг давах ёстой. Портыг зөвхөн нэг ACL-д нэмбэл нөгөө татгалзал хүчинтэй хэвээр үлдэж болно.

Одоо байгаа тодорхойлолтыг бодож өргөтгөх

Ердийн вэб портууд болон нэг нэмэлт HTTPS портыг зөвшөөрөх бодлогод:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Санаандгүй хуучин утгуудын багцыг үлдээхийн оронд холбогдох тодорхойлолтыг солих эсвэл засна уу. Аюулгүй бус порт болон CONNECT-ийг хориглох ердийн дүрмүүд, мөн төлөвлөсөн клиентийн хязгаарлалтыг хадгалаарай.

Онцгой зөвшөөрлийг нарийн хязгаарлах

Нэмэлт порт зөвхөн нэг хяналттай зорилгод хэрэгтэй бол клиент зөвшөөрөх дүрмийн өмнө чиглэсэн хориг нэмнэ үү:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Энэ хаяг нь баримт бичгийн жишээ утга юм. Өөрийн удирддаг эсвэл хандах эрхтэй зорилгыг ашиглаж, түүний хаягийн бодит өөрчлөлтийг тооцоолоорой. Ингэснээр 8443 дээрх бүх зорилгыг зөвшөөрөхийн оронд нэмэлт портын онцгой зөвшөөрлийг хязгаарлана.

Идэвхтэй тохиргоог бүхэлд нь задлан шинжилж, дүрмүүдийн дарааллыг шалгана уу. Таарсан клиент зөвшөөрөх дүрмийн дараа байрлуулсан зөв бичсэн хориг хүссэн хязгаарлалтыг хэрэгжүүлэхгүй.

Зөвшөөрөгдсөн хостын нэрийг бодит гэрчилгээ болон портоор нь шалгаад, дараа нь хориглогдсон хэвээр байх ёстой хяналттай зорилгыг туршаарай. Зорилгын таних мэдээллийн алдааг прокси бодлогын алдаанаас ялгахын тулд TLS баталгаажуулалтыг идэвхтэй байлгаарай. Тусгай порт руу нэг хүсэлт ажиллуулахын тулд CONNECT хамгаалалтыг бүхэлд нь бүү устгаарай.