Squid orqali yana bitta HTTPS portiga ruxsat bering

443 orqali odatiy HTTPS ishlasa ham, 8443 portidagi HTTPS xizmati to‘g‘ri sozlangan Squid proksisi orqali ishlamasligi mumkin. Mijozning proksi protokolini o‘zgartirishdan oldin CONNECT rad etilishini va mo‘ljal portlari siyosatini tekshiring.

Squid 6.13 ning odatiy kirish siyosatida ikkita tekshiruv muhim: mo‘ljal Safe_ports tekshiruvidan, CONNECT esa SSL_ports tekshiruvidan o‘tishi kerak. Portni faqat bitta ACL’ga qo‘shish boshqa rad etishni kuchda qoldirishi mumkin.

Mavjud ta’riflarni o‘ylab kengaytiring

Odatiy veb portlariga va yana bitta HTTPS portiga ruxsat beradigan siyosat uchun:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Kutilmagan eski qiymatlar to‘plamini joyida qoldirmasdan, tegishli ta’riflarni almashtiring yoki tahrirlang. Xavfsiz bo‘lmagan portlar va CONNECT’ni rad etuvchi odatiy qoidalarni hamda ko‘zda tutilgan mijoz cheklovlarini saqlang.

Istisnoni tor doirada saqlang

Qo‘shimcha port faqat bitta nazorat qilinadigan mo‘ljal uchun kerak bo‘lsa, mijozga ruxsat berish qoidasidan oldin maqsadli rad etish qoidasini qo‘shing:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Manzil hujjatlar uchun namunaviy qiymatdir. O‘zingiz boshqaradigan yoki kirishga vakolatingiz bor mo‘ljaldan foydalaning va uning haqiqiy manzil o‘zgarishlarini hisobga oling. Bu 8443 dagi barcha mo‘ljallarga ruxsat berish o‘rniga qo‘shimcha port istisnosini cheklaydi.

Butun faol konfiguratsiyani sintaktik tahlil qiling va qoidalar tartibini ko‘rib chiqing. Mos keladigan mijozga ruxsat berish qoidasidan keyin joylashtirilgan to‘g‘ri yozilgan rad etish kerakli cheklovni ta’minlamaydi.

Tasdiqlangan xost nomini haqiqiy sertifikati va porti bilan, keyin esa rad etilgan holda qolishi kerak bo‘lgan nazorat qilinadigan mo‘ljalni sinang. Mo‘ljal kimligi xatolarini proksi siyosati xatolaridan ajratish uchun TLS tekshiruvini yoqilgan holda saqlang. Maxsus portga bitta so‘rov ishlashi uchun butun CONNECT himoyasini olib tashlamang.