Kako brati napako SO_ORIGINAL_DST v Squidu

NF getsockopt(SO_ORIGINAL_DST) kaže na iskanje prvotnega cilja. Pri nastavitvi prestrezanja mora Squid obnoviti, kam je preusmerjena povezava prvotno šla.

Izrecno konfiguriran brskalnik pošilja zahteve posredniku namenoma. Ta povezava ne dobi zgodovine prestrezanja NAT samo zato, ker je ob vratih poslušalca Squida zapisano intercept.

Zato lahko to nesujemanje spodleti, še preden postane potrdilo cilja pomembno.

Začnite s tem, kako je povezava prispela

• Če ima aplikacija konfiguriran naslov posrednika, določite običajni poslušalec posrednika za posredovanje, ki naj ga uporablja.
• Če prehod preusmerja sicer neposreden promet, preverite, ali doseže predvideni poslušalec za prestrezanje in ali podprta zasnova NAT ohranja potrebne podatke o cilju.
• Če obstajata oba načina, preverite, na kateri naslov in vrata se je odjemalec, ki mu spodleti, dejansko povezal.

Dokumentacija Squida za http_port jasno razlikuje: če izpustite zastavico načina, se izbere način posrednika za posredovanje; intercept pričakuje prestrezanje NAT na ravni IP.

Nato obravnavajte varnost prenosa ločeno. Posrednik HTTP lahko prenaša HTTPS prek CONNECT. Povezava TLS do posrednika zahteva združljiv poslušalec in konfiguracijo odjemalca. Dešifriranje prometa do cilja je spet druga neobvezna zmožnost.

Ne kopirajte stare “rešitve HTTPS”, ki vklopi ustvarjanje potrdil samo zato, ker se naslov cilja začne s HTTPS. Najprej popravite usklajenost med odjemalcem in poslušalcem. Če po tem ostane resnična napaka TLS, bo to koristnejša napaka za preiskovanje.