Një dëgjues TLS për proxy përcjellës në Squid 6.13

Squid 6.13 mund të pranojë kërkesa proxy përcjellës përmes TLS kur ndërtohet me GnuTLS ose OpenSSL. Kjo mbron lidhjen klient–proxy pa përgjuar sesionin e veçantë të destinacionit HTTPS.

1. Merrni një certifikatë për emrin e hostit që klientët do të përdorin për të arritur Squid. Kufizoni çelësin privat vetëm tek identitetet e shërbimit që e kërkojnë.
2. Shtoni një dëgjues TLS me adresën e caktuar dhe shtigjet reale të certifikatave:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Ruani listën e klientëve të lejuar dhe kufizimet e destinacionit dhe politikën e autentikimit. Dëgjuesi nuk jep akses. Ai lë aktiv edhe një http_port ekzistues; hiqni ose kufizoni dëgjuesin e vjetër nëse të gjitha lidhjet e klientëve duhet të përdorin TLS. Nuk duhet modalitet përshpejtuesi, përgjimi ose krijimi certifikatash.

Analizoni konfigurimin para ringarkimit të shërbimit të synuar. Kontrolli i analizuesit vërteton strukturën dhe ngarkimin e certifikatave, jo arritshmërinë e rrjetit. Pas një ringarkimi të suksesshëm, bëni kërkesë përmes pikës fundore TLS nga një klient i lejuar:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Përdorni emrin real të proxy-t dhe skedarin CA të miratuar. Një certifikatë proxy e besuar publikisht mund të mos ketë nevojë për paketë të personalizuar. --proxy-cacert konfiguron besimin te proxy dhe e lë verifikimin e destinacionit të veçuar; ruani të dyja kontrollet.

Inspektoni dëgjuesin real dhe emrin e certifikatës, pastaj testoni edhe një burim të kontrolluar që duhet refuzuar. Analizimi i suksesshëm vetëm nuk konfirmon besimin e klientit ose kufirin e aksesit.