Permiteți un port HTTPS suplimentar prin Squid

Actualizați ambele ACL-uri de porturi din Squid 6.13 și păstrați o regulă de destinație restrânsă când un serviciu HTTPS autorizat folosește portul 8443.

Un serviciu HTTPS pe portul 8443 poate eșua printr-un proxy Squid configurat corect chiar dacă HTTPS obișnuit pe 443 funcționează. Examinați refuzul CONNECT și politica porturilor de destinație înainte de a schimba protocolul proxy al clientului.

Într-o politică de acces tipică pentru Squid 6.13 contează două verificări: destinația trebuie să treacă de Safe_ports, iar CONNECT trebuie să treacă de SSL_ports. Adăugarea portului într-un singur ACL poate lăsa celălalt refuz în vigoare.

Extindeți cu atenție definițiile existente

Pentru o politică ce permite porturile web obișnuite și un port HTTPS suplimentar:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Înlocuiți sau editați definițiile corespunzătoare, fără a lăsa în uz un set vechi și neașteptat de valori. Păstrați regulile obișnuite de refuz al porturilor nesigure și al CONNECT, precum și restricțiile pentru clienți prevăzute.

Limitați excepția

Dacă portul suplimentar este necesar doar pentru o destinație controlată, adăugați un refuz țintit înaintea regulii care permite clientul:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresa este un exemplu pentru documentație. Folosiți destinația pe care o administrați sau pe care aveți dreptul să o accesați și țineți cont de schimbările reale ale adresei sale. Astfel limitați excepția pentru portul suplimentar, în loc să permiteți orice destinație pe 8443.

Analizați configurația activă completă și verificați ordinea regulilor. Un refuz scris corect, dar plasat după o regulă corespunzătoare care permite clientul, nu va impune restricția dorită.

Testați numele de gazdă autorizat cu certificatul și portul reale, apoi testați o destinație controlată care trebuie să rămână interzisă. Menținerea verificării TLS active permite distingerea erorilor de identitate a destinației de erorile politicii proxy. Nu eliminați întreaga protecție CONNECT pentru a face să funcționeze o singură cerere către un port personalizat.

Articole similare