TLS naslúchanie forward proxy v Squid 6.13

Squid 6.13 môže prijímať požiadavky forward proxy cez TLS, ak je zostavený s GnuTLS alebo OpenSSL. Chráni tak spojenie klient–proxy bez zachytávania samostatnej relácie cieľa HTTPS.

1. Získajte certifikát pre názov hostiteľa, ktorým klienti dosiahnu Squid. Súkromný kľúč sprístupnite iba identitám služby, ktoré ho potrebujú.
2. Pridajte TLS naslúchanie s pridelenou adresou a skutočnými cestami k certifikátom:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Zachovajte zoznam povolených klientov a obmedzenia cieľov aj pravidlá overovania. Naslúchanie neudeľuje prístup. Existujúci http_port tiež zostáva aktívny; ak musia všetky klientske spojenia používať TLS, staršie naslúchanie odstráňte alebo obmedzte. Nie je potrebný režim akcelerátora, zachytávania ani generovania certifikátov.

Pred opätovným načítaním určenej služby skontrolujte konfiguráciu parserom. Kontrola overuje štruktúru a načítanie certifikátov, nie sieťovú dosiahnuteľnosť. Po úspešnom načítaní odošlite požiadavku cez TLS koncový bod z povoleného klienta:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Použite skutočný názov hostiteľa proxy a schválený súbor CA. Verejne dôveryhodný certifikát proxy nemusí vyžadovať vlastný balík. --proxy-cacert nastavuje dôveru k proxy a overenie cieľa ponecháva oddelené; zachovajte obe kontroly.

Skontrolujte skutočné naslúchanie a názov certifikátu, potom otestujte aj ovládaný zdroj, ktorý má byť odmietnutý. Samotné úspešné parsovanie nepotvrdzuje dôveru klienta ani hranicu prístupu.