Tillat én ekstra HTTPS-port gjennom Squid
Oppdater begge port-ACL-ene i Squid 6.13 og begrens målet når en godkjent HTTPS-tjeneste bruker port 8443.
En HTTPS-tjeneste på port 8443 kan mislykkes gjennom en riktig konfigurert Squid-proxy selv om vanlig HTTPS på 443 fungerer. Undersøk CONNECT-avvisningen og reglene for målporter før du endrer klientens proxyprotokoll.
I en vanlig tilgangspolicy for Squid 6.13 er to kontroller viktige: Målet må passere Safe_ports, og CONNECT må passere SSL_ports. Hvis porten bare legges til i én ACL, kan den andre avvisningen fortsatt gjelde.
Utvid de eksisterende definisjonene med omtanke
For en policy som tillater vanlige webporter og én ekstra HTTPS-port:
acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443Erstatt eller rediger de aktuelle definisjonene slik at et uventet eldre sett med verdier ikke blir stående. Behold de vanlige reglene som avviser usikre porter og CONNECT, samt de tiltenkte klientbegrensningene.
Hold unntaket snevert
Hvis den ekstra porten bare trengs for ett kontrollert mål, legger du til en målrettet avvisning før regelen som tillater klienten:
acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_targetAdressen er en plassholder for dokumentasjon. Bruk målet du administrerer eller har tillatelse til å nå, og ta hensyn til faktiske endringer i adressen. Dette begrenser unntaket for den ekstra porten i stedet for å tillate alle mål på 8443.
La hele den aktive konfigurasjonen bli parset, og gjennomgå rekkefølgen på reglene. En riktig skrevet avvisning etter en samsvarende regel som tillater klienten, gir ikke den tiltenkte begrensningen.
Test det godkjente vertsnavnet med det faktiske sertifikatet og porten, og test deretter et kontrollert mål som fortsatt skal avvises. Behold TLS-verifisering aktivert for å skille feil i målets identitet fra feil i proxypolicyen. Ikke fjern hele CONNECT-beskyttelsen for å få én forespørsel til en egendefinert port til å fungere.