Dlaczego przeglądarki mogą ukrywać stronę blokady HTTPS Squida

Niestandardowa strona blokady serwera proxy pojawia się dla witryny HTTP. Dla witryny HTTPS przeglądarka pokazuje zamiast tego błąd tunelu. Ponowna podmiana szablonu HTML może nic nie zmienić.

W przypadku jawnego serwera proxy HTTP wizyta HTTPS zwykle zaczyna się od CONNECT. Przeglądarka prosi serwer proxy o otwarcie tunelu do hosta i portu. Jeśli Squid odrzuci to żądanie, sesja TLS witryny nigdy się nie rozpocznie.

Odrzucenie może mieć status HTTP i treść odpowiedzi. Możesz zbadać tę nieudaną odpowiedź CONNECT za pomocą curl niezależnie od strony błędu przeglądarki. Nie wymaga to, aby przeglądarka przedstawiała dostarczony HTML jako stronę docelową. Przeglądarka może odrzucić treść błędu CONNECT i użyć własnego interfejsu błędu proxy; dokładna prezentacja zależy od klienta.

Jeśli odrzucenie przez Squida zawiera już zamierzoną treść deny_info, edycja jej tekstu, arkusza stylów lub uprawnień pliku nie zmienia tego, na którym etapie odpowiedzi działa przeglądarka. Przechowuj status odrzucenia i dziennik dostępu, aby ustalić, czy CONNECT został odrzucony i dlaczego. Ogólna strona przeglądarki może ukrywać szczegóły polityki, podczas gdy serwer proxy prawidłowo egzekwuje regułę.

Serwowanie strony blokady w przechwyconym połączeniu HTTPS to inna architektura, obejmująca zakończenie TLS, zaufanie klienta i obsługę certyfikatów. Nie jest włączana przez edycję deny_info, a niestandardowy szablon nie daje żadnych uprawnień do podszywania się pod zablokowaną witrynę. Wybierz ten projekt tylko wtedy, gdy jest to konieczne; w przeciwnym razie korzystaj z dostępnych raportów błędów klienta i dzienników operacyjnych proxy.