TLS-узел прямого прокси в Squid 6.13

Squid 6.13 может принимать запросы прямого прокси через TLS, если собран с GnuTLS или OpenSSL. Это защищает канал клиент–прокси без перехвата отдельной сессии HTTPS-назначения.

1. Получите сертификат для имени хоста, по которому клиенты будут обращаться к Squid. Ограничьте доступ к закрытому ключу теми служебными учётными записями, которым он необходим.
2. Добавьте TLS-узел прослушивания с выделенным адресом и настоящими путями сертификатов:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Сохраните список разрешённых клиентов и ограничения назначений, а также политику аутентификации. Узел прослушивания не даёт права доступа. Существующий http_port тоже остаётся активным; удалите или ограничьте старый узел, если все клиентские соединения должны использовать TLS. Режимы ускорителя, перехвата или генерации сертификатов не требуются.

Проверьте конфигурацию парсером перед перечитыванием нужной службой. Проверка валидирует структуру и загрузку сертификатов, а не сетевую доступность. После успешной перезагрузки конфигурации сделайте запрос через TLS-узел с разрешённого клиента:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Используйте настоящее имя прокси и одобренный CA-файл. Публично доверенному сертификату прокси может не понадобиться отдельный набор. --proxy-cacert настраивает доверие прокси и оставляет проверку назначения отдельной; сохраняйте обе проверки.

Проверьте фактический узел прослушивания и имя сертификата, затем испытайте также контролируемый источник, которому нужно отказать. Успешный разбор сам по себе не устанавливает доверие клиента или границу доступа.