Squid 6.13 မှာ TLS forward-proxy listener ထည့်ခြင်း

GnuTLS ဒါမှမဟုတ် OpenSSL နဲ့ တည်ဆောက်ထားတဲ့ Squid 6.13 က TLS ပေါ်ကနေ forward-proxy တောင်းဆိုမှုတွေ လက်ခံနိုင်ပါတယ်။ ဒါက HTTPS ဦးတည်ရာရဲ့ သီးခြား sessionကို ကြားဖြတ်မလုပ်ဘဲ client–ပရောက်စီလင့်ခ်ကို ကာကွယ်ပါတယ်။

1. client တွေ Squid ဆီရောက်ဖို့ သုံးမယ့် ဟို့စ်နာမည်အတွက် ဆာတီဖီကိတ် ရယူပါ။ ၎င်းရဲ့ private key ကို လိုအပ်တဲ့ ဝန်ဆောင်မှုအထောက်အထားတွေကိုပဲ အသုံးပြုခွင့်ပေးပါ။
2. သင့်ကိုသတ်မှတ်ပေးထားတဲ့ လိပ်စာနဲ့ တကယ့်ဆာတီဖီကိတ် path တွေသုံးပြီး TLS listener ထည့်ပါ။

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

client ခွင့်ပြုစာရင်းနဲ့ ဦးတည်ရာကန့်သတ်ချက်တွေ၊ authentication မူဝါဒကို ထိန်းထားပါ။ Listener က ဝင်ရောက်ခွင့်မပေးပါ။ လက်ရှိ http_port ကိုလည်း ဆက်လက်အလုပ်လုပ်စေပါတယ်။ client ချိတ်ဆက်မှုအားလုံး TLS သုံးရမယ်ဆိုရင် listener အဟောင်းကို ဖယ် ဒါမှမဟုတ် ကန့်သတ်ပါ။ accelerator၊ interception၊ ဆာတီဖီကိတ်ဖန်တီးမှု mode မလိုပါ။

ရည်ရွယ်တဲ့ဝန်ဆောင်မှု reload မလုပ်ခင် ကွန်ဖစ်ကို parse လုပ်ပါ။ Parser စစ်ဆေးမှုက ဖွဲ့စည်းပုံနဲ့ ဆာတီဖီကိတ်တင်ခြင်းကို စစ်တာဖြစ်ပြီး ကွန်ရက်ကနေ ရောက်နိုင်မှုကို မစစ်ပါ။ reload အောင်မြင်ပြီးနောက် ခွင့်ပြုထားတဲ့ client ကနေ TLS ချိတ်ဆက်အမှတ်တစ်ဆင့် တောင်းဆိုပါ။

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

တကယ့်ပရောက်စီဟို့စ်နာမည်နဲ့ ခွင့်ပြုထားတဲ့ CA ဖိုင်ကို သုံးပါ။ အများသုံးယုံကြည်မှုရှိတဲ့ ပရောက်စီဆာတီဖီကိတ်ဆိုရင် ကိုယ်ပိုင်အစုအဝေး မလိုနိုင်ပါ။ --proxy-cacert က ပရောက်စီယုံကြည်မှုကို သတ်မှတ်ပြီး ဦးတည်ရာအတည်ပြုမှုကို သီးခြားထားပါတယ်။ စစ်ဆေးမှုနှစ်ခုစလုံးကို ထိန်းထားပါ။

တကယ့် listener နဲ့ ဆာတီဖီကိတ်နာမည်ကို စစ်ပြီး ထိန်းချုပ်ထားတဲ့ ငြင်းပယ်ရမယ့်ရင်းမြစ်ကိုပါ စမ်းပါ။ parse အောင်မြင်တာတစ်ခုတည်းက client ယုံကြည်မှု ဒါမှမဟုတ် ဝင်ရောက်ခွင့်နယ်နိမိတ်ကို အတည်မပြုနိုင်ပါ။