Dovolite ena dodatna vrata HTTPS prek Squida

Posodobite oba ACL-ja vrat v Squidu 6.13 in omejite cilj, ko odobrena storitev HTTPS uporablja vrata 8443.

Storitev HTTPS na vratih 8443 lahko prek pravilno nastavljenega posrednika Squid odpove, čeprav običajni HTTPS na 443 deluje. Pred spremembo odjemalčevega protokola posrednika preverite zavrnitev CONNECT in pravila za ciljna vrata.

Pri tipičnih pravilih dostopa za Squid 6.13 sta pomembni dve preverjanji: cilj mora prestati Safe_ports, CONNECT pa SSL_ports. Če vrata dodate le enemu ACL-ju, lahko druga zavrnitev ostane veljavna.

Premišljeno razširite obstoječe definicije

Za pravila, ki dovoljujejo običajna spletna vrata in ena dodatna vrata HTTPS:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Zamenjajte ali uredite ustrezne definicije, da ne ostane nepričakovan starejši nabor vrednosti. Ohranite običajna pravila za zavračanje nevarnih vrat in CONNECT ter predvidene omejitve odjemalcev.

Izjemo ozko omejite

Če dodatna vrata potrebuje le en nadzorovan cilj, dodajte ciljno zavrnitev pred pravilo, ki dovoljuje odjemalca:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Naslov je vzorčna vrednost za dokumentacijo. Uporabite cilj, ki ga upravljate ali do katerega imate dovoljen dostop, in upoštevajte dejanske spremembe njegovega naslova. To omeji izjemo za dodatna vrata, namesto da bi na 8443 dovolili vse cilje.

Razčlenite celotno aktivno konfiguracijo in preverite vrstni red pravil. Pravilno zapisana zavrnitev za ujemajočim se pravilom, ki dovoljuje odjemalca, ne bo zagotovila predvidene omejitve.

Preizkusite odobreno ime gostitelja z njegovim dejanskim potrdilom in vrati, nato pa nadzorovan cilj, ki mora ostati zavrnjen. Preverjanje TLS naj ostane vključeno, da ločite napake identitete cilja od napak pravil posrednika. Ne odstranite celotne zaščite CONNECT, da bi usposobili eno zahtevo na prilagojenih vratih.

Sorodni članki