Сканеру ICAP потрібен проксі перед ним

Поставте службу адаптації ICAP у її правильну роль, а не вводьте її порт як проксі браузера.

browser → forward proxy → website
                  ↕
             ICAP service

Налаштуйте браузер на forward-проксі, а не на порт ICAP сканера. Проксі — це ICAP-клієнт, а сканер — ICAP-сервер. Слухач на порту 1344 може бути справним, не розуміючи HTTP-запитів проксі в браузерному стилі або CONNECT.

Бічний шлях ICAP отримує вибрані HTTP-повідомлення для перевірки або адаптації. Це не обов'язково ще один вихід в інтернет у послідовному ланцюжку проксі.

Обирайте етап за тим, що потрібно перевірити. REQMOD обробляє надіслані запити, RESPMOD — надіслані відповіді. Сканер відповідей сам по собі не перевіряє завантаження. Обраний проксі-продукт має підтримувати ICAP-клієнт для потрібної вам служби й етапу.

У версіях Squid з підтримкою ICAP визначення служб і правила доступу до адаптації розділені. Оголосити сканер недостатньо, щоб через нього проходила кожна транзакція. Для служби відповідей у Squid 7 налаштуйте вибір служби ICAP і доступ до адаптації разом. Визначте, чи помилка служби блокує запит, чи дозволяє налаштований обхід, як частину вимоги фільтрації.

Звичайний CONNECT також залишає вміст HTTPS-застосунку зашифрованим. Пропуск тунелю через проксі не дає тіла HTTP-відповіді для перевірки. Будь-яка навмисна схема розшифрування TLS потребує власного сумісного налаштування й довіри клієнта.

Схожі статті