Squid 6.13’te TLS ileri proxy dinleyicisi

GnuTLS veya OpenSSL ile derlenmiş Squid 6.13, TLS üzerinden ileri proxy isteklerini kabul edebilir. Bu, HTTPS hedefin ayrı oturumuna müdahale etmeden istemci–proxy bağlantısını korur.

1. İstemcilerin Squid’e ulaşmak için kullanacağı ana makine adına sertifika alın. Özel anahtara erişimi yalnızca ihtiyaç duyan hizmet kimlikleriyle sınırlayın.
2. Size atanmış adres ve gerçek sertifika yollarıyla TLS dinleyicisi ekleyin:

https_port 192.0.2.10:3129 tls-cert=/etc/squid/proxy-chain.pem tls-key=/etc/squid/proxy-key.pem

İstemci izin listesini ve hedef kısıtlamalarını, ayrıca kimlik doğrulama politikasını koruyun. Dinleyici erişim izni vermez. Var olan http_port da etkin kalır; tüm istemci bağlantıları TLS kullanmalıysa eski dinleyiciyi kaldırın veya kısıtlayın. Hızlandırıcı, araya girme ya da sertifika üretme modu gerekmez.

Amaçlanan hizmeti yeniden yüklemeden önce yapılandırmayı ayrıştırın. Ayrıştırıcı denetimi yapıyı ve sertifika yüklenmesini doğrular, ağ erişilebilirliğini değil. Başarılı yeniden yüklemeden sonra izinli istemciden TLS uç noktası üzerinden istek gönderin:

curl --proxy https://proxy.example:3129 --proxy-cacert approved-proxy-ca.pem --connect-timeout 5 --max-time 15 https://example.com/

Gerçek proxy ana makine adını ve onaylı CA dosyasını kullanın. Genel olarak güvenilen proxy sertifikası özel paket gerektirmeyebilir. --proxy-cacert proxy güvenini ayarlar ve hedef doğrulamasını ayrı bırakır; iki kontrolü de koruyun.

Gerçek dinleyiciyi ve sertifika adını inceleyin, ardından reddedilmesi gereken kontrollü bir kaynağı da test edin. Başarılı ayrıştırma tek başına istemci güvenini veya erişim sınırını belirlemez.