Сканеру ICAP нужен прокси перед ним

Поставьте службу адаптации ICAP в правильную роль, а не вводите её порт как прокси браузера.

browser → forward proxy → website
                  ↕
             ICAP service

Настройте браузер на forward-прокси, а не на порт ICAP сканера. Прокси — это ICAP-клиент, а сканер — ICAP-сервер. Слушатель на порту 1344 может быть исправен, не понимая HTTP-запросы прокси в браузерном стиле или CONNECT.

Боковой путь ICAP получает выбранные HTTP-сообщения для проверки или адаптации. Это не обязательно ещё один выход в интернет в последовательной цепочке прокси.

Выбирайте этап по тому, что нужно проверять. REQMOD обрабатывает отправленные запросы, RESPMOD — отправленные ответы. Сканер ответов сам по себе не проверяет загрузки. Выбранный прокси-продукт должен поддерживать ICAP-клиент для нужной вам службы и этапа.

В версиях Squid с поддержкой ICAP определения служб и правила доступа к адаптации разделены. Объявить сканер недостаточно, чтобы через него проходила каждая транзакция. Для службы ответов в Squid 7 настройте выбор службы ICAP и доступ к адаптации вместе. Определите, блокирует ли ошибка службы запрос или разрешает настроенный обход, как часть требования фильтрации.

Обычный CONNECT тоже оставляет содержимое HTTPS-приложения зашифрованным. Пропуск туннеля через прокси не даёт тела HTTP-ответа для проверки. Любая намеренная схема расшифровки TLS требует собственной совместимой настройки и доверия клиента.

Похожие статьи