Cho phép thêm một cổng HTTPS qua Squid

Dịch vụ HTTPS trên cổng 8443 có thể thất bại qua proxy Squid được cấu hình đúng, dù HTTPS thông thường trên 443 vẫn hoạt động. Hãy kiểm tra việc từ chối CONNECT và chính sách cổng đích trước khi đổi giao thức proxy của máy khách.

Trong chính sách truy cập điển hình của Squid 6.13, có hai bước kiểm tra quan trọng: đích phải vượt qua Safe_ports và CONNECT phải vượt qua SSL_ports. Chỉ thêm cổng vào một ACL có thể khiến quy tắc từ chối còn lại vẫn có hiệu lực.

Mở rộng các định nghĩa hiện có một cách có chủ đích

Với chính sách cho phép các cổng web thông thường và thêm một cổng HTTPS:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

Thay thế hoặc chỉnh sửa các định nghĩa tương ứng để tránh giữ lại tập giá trị cũ ngoài dự kiến. Giữ các quy tắc từ chối cổng không an toàn và CONNECT thông thường, cùng các giới hạn máy khách đã định.

Giới hạn ngoại lệ

Nếu cổng bổ sung chỉ cần cho một đích được kiểm soát, hãy thêm quy tắc từ chối có mục tiêu trước quy tắc cho phép máy khách:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

Địa chỉ này chỉ là giá trị minh họa trong tài liệu. Dùng đích mà bạn quản trị hoặc được phép truy cập, đồng thời tính đến những thay đổi địa chỉ thực tế của nó. Cách này giới hạn ngoại lệ cho cổng bổ sung thay vì cho phép mọi đích trên 8443.

Phân tích cú pháp toàn bộ cấu hình đang hoạt động và xem lại thứ tự quy tắc. Quy tắc từ chối được viết đúng nhưng đặt sau một quy tắc cho phép máy khách khớp yêu cầu sẽ không tạo ra giới hạn mong muốn.

Kiểm tra tên máy chủ được phê duyệt bằng chứng chỉ và cổng thực tế, rồi kiểm tra một đích được kiểm soát mà vẫn phải bị từ chối. Giữ xác minh TLS để phân biệt lỗi danh tính đích với lỗi chính sách proxy. Đừng xóa toàn bộ cơ chế bảo vệ CONNECT chỉ để một yêu cầu đến cổng tùy chỉnh hoạt động.