Poslušalec TLS za posredniški strežnik v Squid 6.13

Squid 6.13 lahko sprejema zahteve posredniškega strežnika prek TLS, če je zgrajen z GnuTLS ali OpenSSL. To varuje povezavo odjemalec–posrednik brez prestrezanja ločene seje cilja HTTPS.

1. Pridobite potrdilo za ime gostitelja, s katerim bodo odjemalci dosegli Squid. Zasebni ključ omejite na identitete storitev, ki ga potrebujejo.
2. Dodajte poslušalca TLS z dodeljenim naslovom in dejanskimi potmi do potrdil:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Ohranite seznam dovoljenih odjemalcev in ciljne omejitve ter politiko overjanja. Poslušalec ne daje dostopa. Obstoječi http_port prav tako ostane aktiven; odstranite ali omejite starejšega poslušalca, če morajo vse odjemalske povezave uporabljati TLS. Način pospeševalnika, prestrezanja ali ustvarjanja potrdil ni potreben.

Razčlenite konfiguracijo pred ponovnim nalaganjem predvidene storitve. Preverjanje razčlenjevalnika potrjuje zgradbo in nalaganje potrdil, ne dosegljivosti omrežja. Po uspešnem nalaganju pošljite zahtevo skozi končno točko TLS iz dovoljenega odjemalca:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Uporabite dejansko ime gostitelja posrednika in odobreno datoteko CA. Javno zaupanja vredno potrdilo posrednika morda ne potrebuje lastnega svežnja. --proxy-cacert določi zaupanje posredniku in pusti preverjanje cilja ločeno; ohranite obe preverjanji.

Preglejte dejanskega poslušalca in ime potrdila, nato preizkusite tudi nadzorovan izvor, ki mora biti zavrnjen. Uspešno razčlenjevanje samo po sebi ne potrdi zaupanja odjemalca ali meje dostopa.