Pagbasa ng SO_ORIGINAL_DST na error sa Squid

NF getsockopt(SO_ORIGINAL_DST) ay tumutukoy sa paghahanap sa orihinal na destinasyon. Sa isang setup ng interception, kailangang mabawi ng Squid kung saan orihinal na patungo ang na-redirect na koneksyon.

Ang tahasang naka-configure na browser ay sadyang nagpapadala ng mga kahilingan sa proxy. Hindi nagkakaroon ng kasaysayan ng interception ng NAT ang koneksyong iyon dahil lang sa nakasulat ang intercept sa tabi ng port ng tagapakinig ng Squid.

Kaya ang pagkakamali ng tugma na ito ay maaaring mabigo bago pa maging mahalaga ang sertipiko ng destinasyon.

Magsimula sa kung paano dumating ang koneksyon

• Kung may naka-configure na address ng proxy ang aplikasyon, tukuyin ang karaniwang tagapakinig ng forward proxy na dapat nitong gamitin.
• Kung ang isang gateway ay nagre-redirect ng trapikong kung hindi ay direkta, tiyakin na umaabot ito sa nilalayong tagapakinig ng interception at pinapanatili ng sinusuportahang disenyo ng NAT ang kinakailangang impormasyon ng destinasyon.
• Kung umiiral ang dalawang mode, suriin kung aling address at port ang aktuwal na kinontak ng bumabagsak na kliyente.

Ang dokumentasyon ng Squid tungkol sa http_port ay ginagawang malinaw ang pagkakaiba: ang pag-alis ng flag ng mode ay pumipili ng mode ng forward proxy; ang intercept ay umaasa ng interception ng NAT sa antas ng IP.

Pagkatapos ay hiwalay na harapin ang seguridad ng transportasyon. Ang isang HTTP proxy ay makakapagdala ng HTTPS sa pamamagitan ng CONNECT. Ang koneksyon ng TLS patungo sa proxy ay nangangailangan ng tugmang tagapakinig at configuration ng kliyente. Ang pag-decrypt ng trapiko patungo sa destinasyon ay isa pang opsyonal na kakayahan.

Huwag kopyahin ang lumang “HTTPS fix” na nagbubukas ng pagbuo ng sertipiko dahil lang sa nagsisimula sa HTTPS ang URL ng destinasyon. Ayusin muna ang pagkakasundo ng kliyente at tagapakinig. Kung may natitirang tunay na error sa TLS pagkatapos, iyon ang mas kapaki-pakinabang na error na siyasatin.