TLS slušalac za prosljeđujući proksi u Squidu 6.13

Squid 6.13 može prihvatati zahtjeve prosljeđujućeg proksija preko TLS-a ako je izgrađen s GnuTLS-om ili OpenSSL-om. Time se štiti veza klijent–proksi bez presretanja zasebne sesije HTTPS odredišta.

1. Nabavite certifikat za ime hosta kojim će klijenti pristupati Squidu. Privatni ključ ograničite na identitete servisa kojima je potreban.
2. Dodajte TLS slušaoca s dodijeljenom adresom i stvarnim putanjama certifikata:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Zadržite listu dozvoljenih klijenata i ograničenja odredišta te politiku autentifikacije. Slušalac ne daje pristup. Postojeći http_port također ostaje aktivan; uklonite ili ograničite starijeg slušaoca ako sve klijentske veze moraju koristiti TLS. Ne treba režim ubrzivača, presretanja ili generiranja certifikata.

Parsiranjem provjerite konfiguraciju prije ponovnog učitavanja željenog servisa. Provjera parsera potvrđuje strukturu i učitavanje certifikata, ne mrežnu dostupnost. Poslije uspješnog učitavanja pošaljite zahtjev kroz TLS krajnju tačku s dozvoljenog klijenta:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Koristite stvarno ime proksija i odobrenu CA datoteku. Javno pouzdan proksi certifikat možda ne treba vlastiti paket. --proxy-cacert podešava povjerenje proksiju i ostavlja provjeru odredišta zasebnom; zadržite obje provjere.

Provjerite stvarnog slušaoca i ime certifikata, zatim testirajte i kontrolirani izvor koji treba odbiti. Samo uspješno parsiranje ne potvrđuje povjerenje klijenta ni granicu pristupa.