Pendengar forward proxy TLS dalam Squid 6.13

Squid 6.13 boleh menerima permintaan forward proxy melalui TLS apabila dibina dengan GnuTLS atau OpenSSL. Ini melindungi pautan klien–proksi tanpa memintas sesi berasingan destinasi HTTPS.

1. Dapatkan sijil untuk nama hos yang akan digunakan klien bagi mencapai Squid. Hadkan kunci peribadinya kepada identiti perkhidmatan yang memerlukannya.
2. Tambah pendengar TLS dengan alamat yang diperuntukkan dan laluan sijil sebenar:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Kekalkan senarai klien yang dibenarkan dan sekatan destinasi serta dasar pengesahan. Pendengar tidak memberikan akses. Ia juga membiarkan http_port sedia ada aktif; buang atau hadkan pendengar lama jika semua sambungan klien mesti menggunakan TLS. Mod pemecut, pemintasan atau penjanaan sijil tidak diperlukan.

Huraikan konfigurasi sebelum memuat semula perkhidmatan yang dimaksudkan. Semakan penghurai mengesahkan struktur dan pemuatan sijil, bukan kebolehcapaian rangkaian. Selepas pemuatan semula berjaya, buat permintaan melalui titik akhir TLS daripada klien yang dibenarkan:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Gunakan nama hos proksi sebenar dan fail CA yang diluluskan. Sijil proksi yang dipercayai umum mungkin tidak memerlukan berkas tersuai. --proxy-cacert mengkonfigurasi kepercayaan proksi dan membiarkan pengesahan destinasi berasingan; kekalkan kedua-dua semakan.

Periksa pendengar sebenar dan nama sijil, kemudian uji juga sumber terkawal yang mesti ditolak. Penghuraian yang berjaya sahaja tidak mengesahkan kepercayaan klien atau sempadan akses.