En TLS-forwardproxylytter i Squid 6.13

Squid 6.13 kan ta imot forwardproxyforespørsler over TLS når det er bygget med GnuTLS eller OpenSSL. Dette beskytter klient–proxy-lenken uten å avskjære HTTPS-målets separate økt.

1. Skaff et sertifikat for vertsnavnet klientene skal bruke til å nå Squid. Begrens den private nøkkelen til tjenesteidentitetene som trenger den.
2. Legg til en TLS-lytter med den tildelte adressen og de virkelige sertifikatstiene:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Behold tillatelseslisten for klienter og målbegrensningene samt autentiseringspolicyen. Lytteren gir ikke tilgang. En eksisterende http_port forblir også aktiv; fjern eller begrens den eldre lytteren hvis alle klientforbindelser må bruke TLS. Ingen akselerator-, avskjærings- eller sertifikatgenereringsmodus er nødvendig.

Parse konfigurasjonen før du laster den tiltenkte tjenesten på nytt. Parserkontrollen validerer struktur og sertifikatinnlasting, ikke nettverkstilgjengelighet. Send etter vellykket omlasting en forespørsel gjennom TLS-endepunktet fra en tillatt klient:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Bruk proxyens virkelige vertsnavn og den godkjente CA-filen. Et offentlig betrodd proxysertifikat trenger kanskje ingen egen pakke. --proxy-cacert konfigurerer proxytillit og holder målverifiseringen atskilt; behold begge kontrollene.

Undersøk den faktiske lytteren og sertifikatnavnet, og test også en kontrollert kilde som skal avvises. Vellykket parsing alene fastslår ikke klientens tillit eller tilgangsgrensen.