Dozvolite još jedan HTTPS port kroz Squid

HTTPS servis na portu 8443 može da zakaže kroz pravilno podešen Squid proksi čak i kada uobičajeni HTTPS na 443 radi. Pre promene proksi protokola klijenta proverite odbijanje CONNECT-a i politiku odredišnih portova.

U tipičnoj politici pristupa za Squid 6.13 važne su dve provere: odredište mora da prođe Safe_ports, a CONNECT mora da prođe SSL_ports. Dodavanje porta samo jednom ACL-u može da ostavi drugo odbijanje na snazi.

Promišljeno proširite postojeće definicije

Za politiku koja dozvoljava uobičajene veb portove i još jedan HTTPS port:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Zamenite ili izmenite odgovarajuće definicije kako ne bi ostao neočekivan stari skup vrednosti. Sačuvajte uobičajena pravila za odbijanje nebezbednih portova i CONNECT-a, kao i predviđena ograničenja klijenata.

Ograničite izuzetak

Ako je dodatni port potreban samo za jedno kontrolisano odredište, dodajte ciljano odbijanje pre pravila koje dozvoljava klijenta:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresa je primer za dokumentaciju. Koristite odredište kojim upravljate ili kojem ste ovlašćeni da pristupate i uzmite u obzir stvarne promene njegove adrese. Time ograničavate izuzetak za dodatni port umesto da dozvolite sva odredišta na 8443.

Parsiranjem proverite celu aktivnu konfiguraciju i pregledajte redosled pravila. Ispravno napisano odbijanje postavljeno posle odgovarajućeg pravila koje dozvoljava klijenta neće pružiti predviđeno ograničenje.

Testirajte odobreno ime hosta sa stvarnim sertifikatom i portom, a zatim kontrolisano odredište koje i dalje treba da bude odbijeno. Ostavite TLS proveru uključenu kako biste razlikovali greške identiteta odredišta od grešaka proksi politike. Nemojte ukloniti celu CONNECT zaštitu da bi proradio jedan zahtev na prilagođenom portu.