Lejoni një portë HTTPS shtesë përmes Squid

Përditësoni të dy ACL-të e portave në Squid 6.13 dhe kufizoni destinacionin kur një shërbim HTTPS i miratuar përdor portën 8443.

Një shërbim HTTPS në portën 8443 mund të dështojë përmes një proxy Squid të konfiguruar saktë edhe kur HTTPS i zakonshëm në 443 punon. Shqyrtoni refuzimin e CONNECT dhe politikën e portave të destinacionit përpara se të ndryshoni protokollin proxy të klientit.

Në një politikë tipike qasjeje të Squid 6.13 kanë rëndësi dy kontrolle: destinacioni duhet të kalojë Safe_ports dhe CONNECT duhet të kalojë SSL_ports. Shtimi i portës vetëm në një ACL mund ta lërë në fuqi refuzimin tjetër.

Zgjeroni me kujdes përkufizimet ekzistuese

Për një politikë që lejon portat e zakonshme të uebit dhe një portë HTTPS shtesë:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Zëvendësoni ose redaktoni përkufizimet përkatëse, që të mos mbetet një grup i vjetër dhe i papritur vlerash. Ruani rregullat normale të refuzimit të portave të pasigurta dhe CONNECT, si dhe kufizimet e klientëve të synuara.

Mbajeni përjashtimin të kufizuar

Nëse porta shtesë nevojitet vetëm për një destinacion të kontrolluar, shtoni një refuzim të synuar përpara rregullit që lejon klientin:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Adresa është një vlerë shembull për dokumentacionin. Përdorni destinacionin që administroni ose ku jeni të autorizuar të hyni dhe merrni parasysh ndryshimet reale të adresës së tij. Kjo kufizon përjashtimin e portës shtesë në vend që të lejojë çdo destinacion në 8443.

Kryeni analizën sintaksore të të gjithë konfigurimit aktiv dhe shqyrtoni rendin e rregullave. Një refuzim i shkruar saktë, por i vendosur pas një rregulli përputhës që lejon klientin, nuk do të japë kufizimin e synuar.

Provoni emrin e miratuar të hostit me certifikatën dhe portën reale, pastaj provoni një destinacion të kontrolluar që duhet të mbetet i refuzuar. Mbajeni verifikimin TLS aktiv për të dalluar gabimet e identitetit të destinacionit nga gabimet e politikës proxy. Mos hiqni të gjithë mbrojtjen CONNECT që të funksionojë një kërkesë e vetme në një portë të personalizuar.

Artikuj të ngjashëm