Ħalli port HTTPS ieħor jgħaddi minn Squid

Aġġorna ż-żewġ ACLs tal-portijiet fi Squid 6.13 u żomm regola dejqa għad-destinazzjoni meta servizz HTTPS approvat juża l-port 8443.

Servizz HTTPS fuq il-port 8443 jista’ jonqos permezz ta’ proxy Squid ikkonfigurat sew anki meta HTTPS normali fuq 443 jaħdem. Eżamina ir-rifjut ta’ CONNECT u l-politika tal-portijiet tad-destinazzjoni qabel tibdel il-protokoll tal-proxy tal-klijent.

F’politika tipika ta’ aċċess ta’ Squid 6.13, żewġ kontrolli huma importanti: id-destinazzjoni trid tgħaddi minn Safe_ports, u CONNECT irid jgħaddi minn SSL_ports. Jekk iżżid il-port ma’ ACL waħda biss, ir-rifjut l-ieħor jista’ jibqa’ fis-seħħ.

Wessa’ d-definizzjonijiet eżistenti b’attenzjoni

Għal politika li tippermetti portijiet tal-web normali u port HTTPS ieħor:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Ibdel jew editja d-definizzjonijiet korrispondenti biex ma jibqax sett antik u mhux mistenni ta’ valuri. Żomm ir-regoli normali li jirrifjutaw portijiet mhux sikuri u CONNECT, kif ukoll ir-restrizzjonijiet tal-klijenti maħsuba.

Żomm l-eċċezzjoni limitata

Jekk il-port addizzjonali jkun meħtieġ biss għal destinazzjoni waħda kkontrollata, żid rifjut immirat qabel ir-regola li tippermetti lill-klijent:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

L-indirizz huwa valur ta’ eżempju għad-dokumentazzjoni. Uża d-destinazzjoni li tamministra jew li għandek awtorizzazzjoni taċċessa, u qis il-bidliet reali fl-indirizz tagħha. Dan jillimita l-eċċezzjoni tal-port addizzjonali minflok jippermetti kull destinazzjoni fuq 8443.

Agħmel analiżi sintattika tal-konfigurazzjoni attiva kollha u eżamina l-ordni tar-regoli. Rifjut miktub sew iżda mqiegħed wara regola li taqbel u tippermetti lill-klijent ma jipprovdix ir-restrizzjoni maħsuba.

Ittestja l-isem tal-host approvat biċ-ċertifikat u l-port reali tiegħu, imbagħad ittestja destinazzjoni kkontrollata li għandha tibqa’ miċħuda. Żomm il-verifika TLS attiva biex tiddistingwi żbalji fl-identità tad-destinazzjoni minn żbalji fil-politika tal-proxy. Tneħħix il-protezzjoni CONNECT kollha biex taħdem talba waħda fuq port personalizzat.

Artikli relatati