จุดรับ TLS forward proxy ใน Squid 6.13

เพิ่มจุดรับ forward proxy ที่รองรับ TLS ใน Squid 6.13 โดยไม่ดักรับเซสชัน HTTPS ของปลายทาง

Squid 6.13 รับคำขอ forward proxy ผ่าน TLS ได้เมื่อสร้างด้วย GnuTLS หรือ OpenSSL ซึ่งปกป้องลิงก์ไคลเอนต์–พร็อกซีโดยไม่ดักรับเซสชันแยกของปลายทาง HTTPS

  1. ขอใบรับรองสำหรับชื่อโฮสต์ที่ไคลเอนต์จะใช้เข้าถึง Squid จำกัดคีย์ส่วนตัวให้เฉพาะตัวตนของบริการที่จำเป็นต้องใช้
  2. เพิ่มจุดรับ TLS ด้วยที่อยู่ที่ได้รับมอบหมายและพาธใบรับรองจริง:
https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

เก็บรายการไคลเอนต์ที่อนุญาตและข้อจำกัดปลายทางรวมทั้งนโยบายยืนยันตัวตนไว้ จุดรับไม่ได้ให้สิทธิ์เข้าถึง และยังปล่อย http_port ที่มีอยู่ให้ทำงานต่อ ถ้าการเชื่อมต่อไคลเอนต์ทั้งหมดต้องใช้ TLS ให้ลบหรือจำกัดจุดรับเดิม ไม่ต้องมีโหมดเร่งความเร็ว ดักรับ หรือสร้างใบรับรอง

แยกวิเคราะห์การตั้งค่าก่อนโหลดบริการที่ต้องการใหม่ การตรวจตัวแยกวิเคราะห์ยืนยันโครงสร้างและการโหลดใบรับรอง ไม่ใช่การเข้าถึงเครือข่าย หลังโหลดใหม่สำเร็จ ให้ส่งคำขอผ่านจุด TLS จากไคลเอนต์ที่อนุญาต:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

ใช้ชื่อโฮสต์พร็อกซีจริงและไฟล์ CA ที่อนุมัติ ใบรับรองพร็อกซีที่ได้รับความเชื่อถือสาธารณะอาจไม่ต้องมีชุดเฉพาะ --proxy-cacert ตั้งความเชื่อถือพร็อกซีและแยกการยืนยันปลายทางไว้ ให้เก็บการตรวจทั้งสองอย่าง

ตรวจจุดรับจริงและชื่อในใบรับรอง แล้วทดสอบต้นทางที่คุณควบคุมและต้องถูกปฏิเสธด้วย การแยกวิเคราะห์สำเร็จอย่างเดียวไม่ยืนยันความเชื่อถือของไคลเอนต์หรือขอบเขตการเข้าถึง

บทความที่เกี่ยวข้อง