Permita uma porta HTTPS adicional pelo Squid

Atualize as duas ACLs de portas do Squid 6.13 e mantenha uma regra de destino restrita quando um serviço HTTPS autorizado usar a porta 8443.

Um serviço HTTPS na porta 8443 pode falhar por meio de um proxy Squid configurado corretamente mesmo quando o HTTPS comum na 443 funciona. Examine a negação de CONNECT e a política de portas de destino antes de alterar o protocolo de proxy do cliente.

Em uma política de acesso típica do Squid 6.13, duas verificações importam: o destino deve passar por Safe_ports, e CONNECT deve passar por SSL_ports. Adicionar a porta a apenas uma ACL pode manter a outra negação em vigor.

Amplie as definições existentes com cuidado

Para uma política que permite portas web comuns e uma porta HTTPS adicional:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Substitua ou edite as definições correspondentes para evitar que um conjunto antigo e inesperado de valores continue em uso. Preserve as regras normais de negação de portas inseguras e de CONNECT, além das restrições de clientes pretendidas.

Mantenha a exceção restrita

Se a porta adicional for necessária apenas para um destino controlado, adicione uma negação específica antes da regra que permite o cliente:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

O endereço é um exemplo para documentação. Use o destino que você administra ou está autorizado a acessar e considere as mudanças reais de endereço. Isso limita a exceção da porta adicional em vez de permitir todos os destinos na 8443.

Execute a análise da configuração ativa completa e revise a ordem das regras. Uma negação escrita corretamente, mas colocada depois de uma regra correspondente que permite o cliente, não aplicará a restrição pretendida.

Teste o nome de host autorizado com seu certificado e sua porta reais e depois teste um destino controlado que deve continuar bloqueado. Manter a verificação TLS ativada permite distinguir erros de identidade do destino de erros da política do proxy. Não remova toda a proteção de CONNECT para fazer uma única solicitação a uma porta personalizada funcionar.

Artigos relacionados