อนุญาตพอร์ต HTTPS เพิ่มอีกหนึ่งพอร์ตผ่าน Squid

บริการ HTTPS บนพอร์ต 8443 อาจใช้งานผ่านพร็อกซี Squid ที่ตั้งค่าถูกต้องไม่ได้ แม้ HTTPS ปกติบน 443 จะทำงานอยู่ก็ตาม ตรวจสอบ การปฏิเสธ CONNECT และนโยบายพอร์ตปลายทางก่อนเปลี่ยนโปรโตคอลพร็อกซีของไคลเอนต์

ในนโยบายการเข้าถึงทั่วไปของ Squid 6.13 มีการตรวจสอบสำคัญสองส่วน: ปลายทางต้องผ่าน Safe_ports และ CONNECT ต้องผ่าน SSL_ports การเพิ่มพอร์ตลงใน ACL เพียงรายการเดียวอาจทำให้การปฏิเสธอีกส่วนยังมีผลอยู่

ขยายคำนิยามเดิมอย่างรอบคอบ

สำหรับนโยบายที่อนุญาตพอร์ตเว็บทั่วไปและพอร์ต HTTPS เพิ่มอีกหนึ่งพอร์ต:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

แทนที่หรือแก้ไขคำนิยามที่เกี่ยวข้อง เพื่อไม่ให้ชุดค่าเก่าที่ไม่คาดคิดหลงเหลืออยู่ รักษากฎปฏิเสธพอร์ตที่ไม่ปลอดภัยและ CONNECT ตามปกติ รวมถึงข้อจำกัดของไคลเอนต์ที่ตั้งใจไว้

จำกัดขอบเขตข้อยกเว้น

หากต้องใช้พอร์ตเพิ่มเติมกับปลายทางที่ควบคุมได้เพียงแห่งเดียว ให้เพิ่มการปฏิเสธแบบเจาะจงก่อนกฎอนุญาตไคลเอนต์:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

ที่อยู่นี้เป็นเพียงค่าตัวอย่างสำหรับเอกสาร ใช้ปลายทางที่คุณดูแลหรือได้รับอนุญาตให้เข้าถึง และคำนึงถึงการเปลี่ยนที่อยู่จริงของปลายทางนั้น วิธีนี้จำกัดข้อยกเว้นของพอร์ตเพิ่มเติม แทนที่จะอนุญาตทุกปลายทางบน 8443

ตรวจวิเคราะห์ไวยากรณ์ของการตั้งค่าที่ใช้งานอยู่ทั้งหมด และทบทวนลำดับกฎ กฎปฏิเสธที่เขียนถูกต้องแต่ถูกวางหลังกฎอนุญาตไคลเอนต์ที่ตรงกันจะไม่ให้ข้อจำกัดตามที่ต้องการ

ทดสอบชื่อโฮสต์ที่อนุมัติด้วยใบรับรองและพอร์ตจริง แล้วทดสอบปลายทางที่ควบคุมได้ซึ่งควรถูกปฏิเสธต่อไป เปิดการตรวจสอบ TLS ไว้เพื่อแยกข้อผิดพลาดด้านตัวตนของปลายทางออกจากข้อผิดพลาดของนโยบายพร็อกซี อย่าลบการป้องกัน CONNECT ทั้งหมดเพียงเพื่อให้คำขอหนึ่งรายการไปยังพอร์ตที่กำหนดเองทำงานได้