TLS слушалац за прослеђујући прокси у Squid-у 6.13

Squid 6.13 може да прихвати захтеве прослеђујућег проксија преко TLS-а ако је изграђен са GnuTLS-ом или OpenSSL-ом. Тиме се штити веза клијент–прокси без пресретања засебне сесије HTTPS одредишта.

1. Набавите сертификат за име хоста којим ће клијенти приступати Squid-у. Приватни кључ ограничите на идентитете сервиса којима је потребан.
2. Додајте TLS слушаоца са додељеном адресом и стварним путањама сертификата:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Задржите листу дозвољених клијената и ограничења одредишта и политику аутентификације. Слушалац не даје приступ. Постојећи http_port такође остаје активан; уклоните или ограничите старијег слушаоца ако све клијентске везе морају да користе TLS. Не треба режим убрзивача, пресретања или генерисања сертификата.

Парсирањем проверите конфигурацију пре поновног учитавања жељеног сервиса. Провера парсера потврђује структуру и учитавање сертификата, не мрежну доступност. После успешног учитавања пошаљите захтев кроз TLS крајњу тачку са дозвољеног клијента:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Користите стварно име проксија и одобрену CA датотеку. Јавно поуздан прокси сертификат можда не треба сопствени пакет. --proxy-cacert подешава поверење проксију и оставља проверу одредишта засебном; задржите обе провере.

Проверите стварног слушаоца и име сертификата, затим тестирајте и контролисани извор који треба одбити. Само успешно парсирање не потврђује поверење клијента ни границу приступа.