Benarkan satu port HTTPS tambahan melalui Squid

Perkhidmatan HTTPS pada port 8443 boleh gagal melalui proksi Squid yang dikonfigurasi dengan betul walaupun HTTPS biasa pada 443 berfungsi. Periksa penolakan CONNECT dan dasar port destinasi sebelum menukar protokol proksi klien.

Dalam dasar capaian Squid 6.13 yang lazim, dua semakan penting: destinasi mesti melepasi Safe_ports, dan CONNECT mesti melepasi SSL_ports. Menambah port kepada satu ACL sahaja boleh menyebabkan penolakan yang satu lagi terus berkuat kuasa.

Luaskan takrif sedia ada dengan teliti

Untuk dasar yang membenarkan port web biasa dan satu port HTTPS tambahan:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Gantikan atau sunting takrif yang berkaitan supaya set nilai lama yang tidak dijangka tidak terus kekal. Kekalkan peraturan biasa yang menolak port tidak selamat dan CONNECT, serta sekatan klien yang dikehendaki.

Hadkan pengecualian

Jika port tambahan hanya diperlukan untuk satu destinasi terkawal, tambahkan penolakan bersasar sebelum peraturan yang membenarkan klien:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Alamat itu ialah nilai contoh untuk dokumentasi. Gunakan destinasi yang anda tadbir atau yang anda dibenarkan mengaksesnya, dan ambil kira perubahan alamat sebenarnya. Ini mengehadkan pengecualian port tambahan dan bukannya membenarkan setiap destinasi pada 8443.

Huraikan keseluruhan konfigurasi aktif dan semak susunan peraturan. Penolakan yang ditulis dengan betul tetapi diletakkan selepas peraturan kebenaran klien yang sepadan tidak akan memberikan sekatan yang dikehendaki.

Uji nama hos yang diluluskan dengan sijil dan port sebenarnya, kemudian uji destinasi terkawal yang sepatutnya terus ditolak. Kekalkan pengesahan TLS untuk membezakan ralat identiti destinasi daripada ralat dasar proksi. Jangan buang seluruh perlindungan CONNECT untuk membolehkan satu permintaan ke port tersuai berfungsi.