Payagan ang isang dagdag na HTTPS port sa Squid

I-update ang parehong port ACL sa Squid 6.13 at limitahan ang destinasyon kapag gumagamit ng port 8443 ang isang aprubadong HTTPS service.

Maaaring mabigo ang isang HTTPS service sa port 8443 sa pamamagitan ng wastong naka-configure na Squid proxy kahit gumagana ang karaniwang HTTPS sa 443. Suriin ang pagtanggi sa CONNECT at ang patakaran sa port ng destinasyon bago palitan ang proxy protocol ng client.

Sa karaniwang patakaran sa access ng Squid 6.13, mahalaga ang dalawang pagsusuri: dapat pumasa ang destinasyon sa Safe_ports, at dapat pumasa ang CONNECT sa SSL_ports. Kung sa isang ACL lang idaragdag ang port, maaaring manatiling umiiral ang kabilang pagtanggi.

Palawakin nang maingat ang mga kasalukuyang depinisyon

Para sa patakarang nagpapahintulot sa karaniwang web port at sa isang dagdag na HTTPS port:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Palitan o i-edit ang kaukulang depinisyon upang walang maiwang hindi inaasahang lumang hanay ng mga halaga. Panatilihin ang karaniwang mga patakarang tumatanggi sa hindi ligtas na port at CONNECT, pati ang nilalayong mga paghihigpit sa client.

Limitahan ang eksepsiyon

Kung para lamang sa isang kontroladong destinasyon kailangan ang dagdag na port, maglagay ng tiyak na pagtanggi bago ang patakarang nagpapahintulot sa client:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Ang address ay halimbawang halaga para sa dokumentasyon. Gamitin ang destinasyong pinangangasiwaan mo o pinahihintulutan kang ma-access, at isaalang-alang ang mga aktuwal na pagbabago ng address nito. Nililimitahan nito ang eksepsiyon sa dagdag na port sa halip na payagan ang lahat ng destinasyon sa 8443.

I-parse ang buong aktibong configuration at suriin ang pagkakasunod-sunod ng mga patakaran. Hindi maipapatupad ang nilalayong paghihigpit ng isang wastong nakasulat na pagtanggi kung nasa likod ito ng tumutugmang patakarang nagpapahintulot sa client.

Subukan ang aprubadong hostname gamit ang tunay na sertipiko at port nito, pagkatapos ay subukan ang isang kontroladong destinasyon na dapat manatiling tinatanggihan. Panatilihing naka-enable ang TLS verification upang maihiwalay ang mga error sa pagkakakilanlan ng destinasyon sa mga error ng patakaran ng proxy. Huwag alisin ang buong proteksiyon ng CONNECT para lang gumana ang isang kahilingan sa custom na port.

Kaugnay na mga artikulo