Squid SO_ORIGINAL_DST hatasını okumak
Squid'de özgün hedef aramasının başarısızlığını incelemeden önce, açıkça yapılandırılmış bir istemcinin bir müdahale dinleyicisine ulaşıp ulaşmadığını doğrulayın.
NF getsockopt(SO_ORIGINAL_DST) özgün hedef aramasını gösterir. Müdahale kurulumunda Squid, yönlendirilen bağlantının başlangıçta nereye gittiğini geri çıkarmalıdır.
Açıkça yapılandırılmış bir tarayıcı isteklerini proxy'ye kasten gönderir. Bu bağlantı, yalnızca Squid dinleyicisinin bağlantı noktasının yanında intercept yazdığı için NAT müdahale geçmişi kazanmaz.
Dolayısıyla bu uyumsuzluk, hedefin sertifikası önemli hale gelmeden önce başarısız olabilir.
Bağlantının nasıl geldiğiyle başlayın
- Uygulamada yapılandırılmış bir proxy adresi varsa, kullanması gereken olağan yönlendirme proxy dinleyicisini belirleyin.
- Bir ağ geçidi aksi hâlde doğrudan olacak trafiği yönlendiriyorsa, bunun amaçlanan müdahale dinleyicisine ulaştığını ve desteklenen NAT tasarımının gerekli hedef bilgisini koruduğunu doğrulayın.
- İki kip de varsa, başarısız istemcinin gerçekte hangi adrese ve bağlantı noktasına bağlandığını kontrol edin.
Squid'in http_port belgeleri ayrımı açık kılar: kip bayrağını atlamak yönlendirme proxy kipini seçer; intercept IP katmanında NAT müdahalesi bekler.
Ardından taşıma güvenliğini ayrı ele alın. Bir HTTP proxy HTTPS'yi CONNECT üzerinden taşıyabilir. Proxy'ye TLS bağlantısı uyumlu bir dinleyici ve istemci yapılandırması gerektirir. Hedefe giden trafiğin şifresini çözmek yine ayrı bir isteğe bağlı yetenektir.
Hedef URL HTTPS ile başlıyor diye sertifika üretimini açan eski “HTTPS çözümünü” kopyalamayın. Önce istemci ile dinleyici arasındaki uyumu düzeltin. Sonrasında hâlâ gerçek bir TLS hatası kalırsa, incelenmesi daha yararlı bir hata olur.