Apache AllowCONNECT ба HTTPS очих портууд
Клиентүүд Apache проксид хүрэх портыг mod_proxy_connect-ийн туннель дотор зөвшөөрдөг очих портуудаас ялгах.
Таны Apache прокси 3128 порт дээр сонсож байна. Клиент түүнд амжилттай хүрч байгаа ч 8443 порт дээрх HTTPS үйлчилгээ ажиллахгүй байна. Проксины сонсох портыг өөрчлөх нь энэ ялгааг шийдэх магадлал бага.
Клиент эхлээд проксины сонсогчтой холбогдоно. Түүний CONNECT хүсэлт дараа нь тусдаа очих хост, портыг заана. Apache эхний холболтыг хүлээж авч, хоёр дахь үйлдлийг татгалзаж болно.
AllowCONNECT-ийг очих газрын бодлого гэж унших
Apache 2.4-д mod_proxy_connect ирж буй CONNECT хүсэлтүүдийг боловсруулдаг. Түүний AllowCONNECT заавар нь эдгээр хүсэлтэд боломжтой очих портуудыг удирддаг. Баримтжуулсан анхдагч утга нь 443 ба 563.
AllowCONNECT 443 8443Энэ жишээ тэдгээр хоёр очих портыг сонгож байна. Энэ нь анхдагч сонголтыг орлуулна; бүх анхдагч портыг чимээгүй үлдээж 8443-ыг нэмэхгүй. Зааврыг холбогдох сервер эсвэл виртуал хостын тохиргоонд ашигла.
Проксины клиент зөвшөөрлийн дүрмийг хэвээр үлдээ. Зөвшөөрөгдсөн очих порт нь аль клиент үйлчилгээг ашиглаж болохыг хэлэхгүй бөгөөд шаардлагатай үед очих хостын хязгаарлалтыг орлохгүй.
Урвуу проксины жишээ өөр асуултад хариулдаг
Apache ба HTTPS-ийн хайлтын үр дүн ихэвчлэн тогтмол backend руу чиглүүлдэг нийтийн вэбсайтыг харуулдаг. Тэр тохиргоо нь хөтөч сонгосон вэбсайт руу CONNECT туннель нээхийг урд проксид хүсэх арга биш. Түүний чиглүүлэлтийн зааврыг хуулбарлах нь анхны проксины асуудлыг хөндөхгүй орхиж болно.
Алдаа оношлохдоо клиентийн хүрсэн сонсогч, хүссэн CONNECT эрх, проксины хариуг тэмдэглэ. Хэрэв CONNECT амжилттай болж дараа нь TLS бүтэлгүйтвэл очих портын зөвшөөрөл өөрийн хэсгийг аль хэдийн гүйцэтгэсэн. AllowCONNECT-ийг дахин дахин өргөтгөхийн оронд TLS алдаа-ыг үргэлжлүүлэн шийд.