Дозволите још један HTTPS порт кроз Squid

HTTPS сервис на порту 8443 може да закаже кроз правилно подешен Squid прокси чак и када уобичајени HTTPS на 443 ради. Пре промене прокси протокола клијента проверите одбијање CONNECT-а и политику одредишних портова.

У типичној политици приступа за Squid 6.13 важне су две провере: одредиште мора да прође Safe_ports, а CONNECT мора да прође SSL_ports. Додавање порта само једном ACL-у може да остави друго одбијање на снази.

Промишљено проширите постојеће дефиниције

За политику која дозвољава уобичајене веб портове и још један HTTPS порт:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Замените или измените одговарајуће дефиниције како не би остао неочекиван стари скуп вредности. Сачувајте уобичајена правила за одбијање небезбедних портова и CONNECT-а, као и предвиђена ограничења клијената.

Ограничите изузетак

Ако је додатни порт потребан само за једно контролисано одредиште, додајте циљано одбијање пре правила које дозвољава клијента:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Адреса је пример за документацију. Користите одредиште којим управљате или којем сте овлашћени да приступате и узмите у обзир стварне промене његове адресе. Тиме ограничавате изузетак за додатни порт уместо да дозволите сва одредишта на 8443.

Парсирањем проверите целу активну конфигурацију и прегледајте редослед правила. Исправно написано одбијање постављено после одговарајућег правила које дозвољава клијента неће пружити предвиђено ограничење.

Тестирајте одобрено име хоста са стварним сертификатом и портом, а затим контролисано одредиште које и даље треба да буде одбијено. Оставите TLS проверу укључену како бисте разликовали грешке идентитета одредишта од грешака прокси политике. Немојте уклонити целу CONNECT заштиту да би прорадио један захтев на прилагођеном порту.