Squid வழியாக மேலும் ஒரு HTTPS போர்ட்டை அனுமதிக்கவும்

அங்கீகரிக்கப்பட்ட HTTPS சேவை போர்ட் 8443-ஐப் பயன்படுத்தும்போது Squid 6.13-இன் இரு போர்ட் ACL-களையும் புதுப்பித்து இலக்கு விதியைக் குறுகியதாக வைத்திருங்கள்.

443-இல் வழக்கமான HTTPS செயல்பட்டாலும், போர்ட் 8443-இன் HTTPS சேவை சரியாக அமைக்கப்பட்ட Squid ப்ராக்சி வழியாகத் தோல்வியடையலாம். கிளையண்டின் ப்ராக்சி நெறிமுறையை மாற்றுமுன் CONNECT மறுப்பையும் இலக்கு போர்ட் கொள்கையையும் பாருங்கள்.

Squid 6.13-இன் வழக்கமான அணுகல் கொள்கையில் இரண்டு சோதனைகள் முக்கியம்: இலக்கு Safe_ports சோதனையையும் CONNECT, SSL_ports சோதனையையும் கடக்க வேண்டும். ஒரே ACL-இல் மட்டும் போர்ட்டைச் சேர்த்தால் மற்ற மறுப்பு தொடர்ந்து அமலில் இருக்கலாம்.

இருக்கும் வரையறைகளைச் சிந்தித்து விரிவாக்கவும்

வழக்கமான வலை போர்ட்டுகளையும் கூடுதலாக ஒரு HTTPS போர்ட்டையும் அனுமதிக்கும் கொள்கைக்கு:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

பழைய மதிப்புகளின் எதிர்பாராத தொகுப்பு மீதமிருக்காதபடி தொடர்புடைய வரையறைகளை மாற்றவும் அல்லது திருத்தவும். பாதுகாப்பற்ற போர்ட்டுகள் மற்றும் CONNECT-ஐ மறுக்கும் வழக்கமான விதிகளையும் திட்டமிட்ட கிளையண்ட் கட்டுப்பாடுகளையும் வைத்திருங்கள்.

விதிவிலக்கைக் குறுகியதாக வைத்திருங்கள்

கூடுதல் போர்ட் கட்டுப்பாட்டிலுள்ள ஒரே இலக்குக்கு மட்டும் தேவைப்பட்டால், கிளையண்டை அனுமதிக்கும் விதிக்கு முன் இலக்கிட்ட மறுப்பைச் சேர்க்கவும்:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

இந்த முகவரி ஆவணத்திற்கான எடுத்துக்காட்டு மட்டுமே. நீங்கள் நிர்வகிக்கும் அல்லது அணுக அனுமதி பெற்ற இலக்கைப் பயன்படுத்தி, அதன் முகவரியின் உண்மையான மாற்றங்களையும் கணக்கில் கொள்ளுங்கள். இது 8443-இல் எல்லா இலக்குகளையும் அனுமதிப்பதற்குப் பதிலாக கூடுதல் போர்ட் விதிவிலக்கைக் கட்டுப்படுத்துகிறது.

செயலில் உள்ள முழு அமைப்பையும் பாகுபடுத்தி விதிகளின் வரிசையைச் சரிபார்க்கவும். சரியாக எழுதப்பட்ட மறுப்புகூட பொருந்தும் கிளையண்ட் அனுமதி விதிக்குப் பின் இருந்தால் திட்டமிட்ட கட்டுப்பாட்டை வழங்காது.

அங்கீகரிக்கப்பட்ட ஹோஸ்ட்பெயரை அதன் உண்மையான சான்றிதழ் மற்றும் போர்ட்டுடன் சோதித்து, பின்னர் தொடர்ந்து மறுக்கப்பட வேண்டிய கட்டுப்பாட்டிலுள்ள இலக்கை சோதிக்கவும். இலக்கு அடையாளப் பிழைகளை ப்ராக்சி கொள்கைப் பிழைகளிலிருந்து பிரித்தறிய TLS சரிபார்ப்பை இயக்கியபடி வைத்திருங்கள். தனிப்பயன் போர்ட்டுக்கான ஒரு கோரிக்கையைச் செயல்பட வைக்க முழு CONNECT பாதுகாப்பையும் நீக்காதீர்கள்.

தொடர்புடைய கட்டுரைகள்