En TLS-forwardproxylyssnare i Squid 6.13

Squid 6.13 kan ta emot forwardproxybegäranden över TLS när det byggts med GnuTLS eller OpenSSL. Det skyddar länken mellan klient och proxy utan att avlyssna HTTPS-målets separata session.

1. Skaffa ett certifikat för värdnamnet som klienterna använder för att nå Squid. Begränsa den privata nyckeln till de tjänsteidentiteter som behöver den.
2. Lägg till en TLS-lyssnare med din tilldelade adress och verkliga certifikatsökvägar:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

Behåll klienternas tillåtelselista och målbegränsningar samt autentiseringspolicyn. Lyssnaren ger inte åtkomst. En befintlig http_port förblir också aktiv; ta bort eller begränsa den äldre lyssnaren om alla klientanslutningar måste använda TLS. Inget accelerator-, avlyssnings- eller certifikatgenereringsläge krävs.

Tolka konfigurationen innan du läser om den avsedda tjänsten. Parserkontrollen validerar struktur och certifikatladdning, inte nätverkets nåbarhet. Skicka efter lyckad omladdning en begäran genom TLS-slutpunkten från en tillåten klient:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Använd proxyns verkliga värdnamn och den godkända CA-filen. Ett allmänt betrott proxycertifikat behöver kanske inget eget paket. --proxy-cacert konfigurerar proxytillit och lämnar målverifieringen separat; behåll båda kontrollerna.

Kontrollera den faktiska lyssnaren och certifikatnamnet, och testa även en kontrollerad källa som ska nekas. Enbart lyckad tolkning fastställer inte klientens tillit eller åtkomstgränsen.