Sta één extra HTTPS-poort toe via Squid

Werk beide poort-ACL’s in Squid 6.13 bij en beperk de bestemming wanneer een goedgekeurde HTTPS-dienst poort 8443 gebruikt.

Een HTTPS-dienst op poort 8443 kan via een correct ingestelde Squid-proxy mislukken terwijl gewone HTTPS op 443 wel werkt. Onderzoek de CONNECT-weigering en het beleid voor bestemmingspoorten voordat je het proxyprotocol van de client wijzigt.

In een gebruikelijk toegangsbeleid voor Squid 6.13 zijn twee controles van belang: de bestemming moet door Safe_ports komen en CONNECT moet door SSL_ports komen. Als je de poort aan slechts één ACL toevoegt, kan de andere weigering van kracht blijven.

Breid de bestaande definities bewust uit

Voor een beleid dat gewone webpoorten en één extra HTTPS-poort toestaat:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Vervang of bewerk de betreffende definities zodat er geen onverwachte oude verzameling waarden blijft staan. Behoud de normale regels die onveilige poorten en CONNECT weigeren, evenals de beoogde clientbeperkingen.

Houd de uitzondering beperkt

Als de extra poort maar voor één beheerde bestemming nodig is, voeg dan een gerichte weigering toe vóór de regel die de client toestaat:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Het adres is een voorbeeld voor documentatie. Gebruik de bestemming die je beheert of waartoe je toegang mag hebben en houd rekening met daadwerkelijke adreswijzigingen. Zo beperk je de uitzondering voor de extra poort in plaats van alle bestemmingen op 8443 toe te staan.

Laat de volledige actieve configuratie ontleden en controleer de volgorde van de regels. Een correct geschreven weigering na een overeenkomende regel die de client toestaat, levert de bedoelde beperking niet op.

Test de goedgekeurde hostnaam met het echte certificaat en de echte poort en test daarna een beheerde bestemming die geweigerd moet blijven. Houd TLS-verificatie ingeschakeld om fouten in de identiteit van de bestemming te onderscheiden van fouten in het proxybeleid. Verwijder niet de volledige CONNECT-beveiliging om één verzoek naar een aangepaste poort te laten werken.

Gerelateerde artikelen