Apache AllowCONNECT a cieľové porty HTTPS
Rozlišujte port, ktorý klienti používajú na prístup k proxy Apache, od cieľových portov, ktoré mod_proxy_connect povoľuje vnútri tunelov.
Váš proxy Apache počúva na porte 3128. Klient sa k nemu úspešne pripojí, ale služba HTTPS na porte 8443 zlyháva. Zmena počúvacieho portu proxy tento rozdiel pravdepodobne nevyrieši.
Klient sa najprv pripojí k poslucháčovi proxy. Jeho požiadavka CONNECT potom určí samostatný cieľový hostiteľ a port. Apache môže prvé pripojenie prijať a druhú operáciu odmietnuť.
Čítajte AllowCONNECT ako cieľovú politiku
V Apache 2.4 spracúva mod_proxy_connect prichádzajúce požiadavky CONNECT. Jeho direktíva AllowCONNECT riadi cieľové porty dostupné pre tieto požiadavky. Dokumentovaná predvolená hodnota je 443 a 563.
AllowCONNECT 443 8443Tento príklad vyberá tieto dva cieľové porty. Nahrádza predvolený výber; nepridáva 8443 a pritom potichu nezachováva všetky predvolené porty. Použite direktívu v príslušnej konfigurácii servera alebo virtuálneho hostiteľa.
Zachovajte pravidlá autorizácie klientov proxy. Povolený cieľový port nehovorí nič o tom, ktorý klient môže službu používať, a nenahrádza obmedzenie cieľového hostiteľa, keď je potrebné.
Príklad reverzného proxy odpovedá na inú otázku
Výsledky vyhľadávania pre Apache a HTTPS často zobrazujú verejnú webovú lokalitu, ktorá preposiela na pevný backend. Taká konfigurácia nie je spôsob, akým prehliadač žiada forward proxy o otvorenie tunela CONNECT k vybranej lokalite. Kopírovanie jej smerovacích direktív môže pôvodný problém proxy nechať nedotknutý.
Pri diagnostike zlyhania zaznamenajte poslucháča, ku ktorému sa klient dostal, požadovanú autoritu CONNECT a odpoveď proxy. Ak CONNECT uspeje a TLS potom zlyhá, povolenie cieľového portu už splnilo svoju časť. Pokračujte s zlyhaním TLS namiesto opakovaného rozširovania AllowCONNECT.