Чому браузери можуть приховувати сторінку блокування HTTPS Squid
Зрозумійте, чому браузер може показувати власну помилку тунелю замість власного HTML, що повертається для відхиленого запиту CONNECT.
Власна сторінка блокування проксі з'являється для HTTP-сайту. Для HTTPS-сайту браузер натомість показує помилку тунелю. Повторна заміна шаблону HTML може нічого не змінити.
Із явним HTTP-проксі відвідування HTTPS зазвичай починається з CONNECT. Браузер просить проксі відкрити тунель до хоста й порту. Якщо Squid відхиляє цей запит, сеанс TLS сайту так і не починається.
Відхилення може мати HTTP-статус і вміст відповіді. Ви можете перевірити ту невдалу відповідь CONNECT за допомогою curl незалежно від сторінки помилки браузера. Це не вимагає, щоб браузер показував наданий HTML як веб-сторінку призначення. Браузер може відкинути тіло помилки CONNECT і використовувати власний інтерфейс помилки проксі; точне подання залежить від клієнта.
Якщо відхилення Squid уже містить потрібне тіло deny_info, редагування його тексту, таблиці стилів або прав доступу до файлу не змінює того, на якому етапі відповіді працює браузер. Тримайте статус відхилення й журнал доступу доступними, щоб установити, чи було CONNECT відхилено і чому. Звичайна сторінка браузера може приховувати подробиці політики, тоді як проксі правильно застосовує правило.
Надання сторінки блокування всередині перехопленого HTTPS-з'єднання — це інша архітектура, що включає завершення TLS, довіру клієнта й обробку сертифікатів. Вона не вмикається редагуванням deny_info, і власний шаблон не дає жодних повноважень видавати себе за заблокований сайт. Обирайте такий дизайн лише за потреби; інакше використовуйте доступну звітність про помилки клієнта та робочі журнали проксі.