Đọc lỗi SO_ORIGINAL_DST của Squid

NF getsockopt(SO_ORIGINAL_DST) chỉ việc tra cứu đích gốc. Trong cấu hình chặn, Squid phải khôi phục xem kết nối bị chuyển hướng ban đầu đi đến đâu.

Trình duyệt được cấu hình rõ ràng cố ý gửi yêu cầu đến proxy. Kết nối đó không có lịch sử chặn NAT chỉ vì intercept được ghi cạnh cổng của trình lắng nghe Squid.

Vì vậy sự không khớp này có thể thất bại trước khi chứng chỉ của đích trở nên liên quan.

Bắt đầu từ cách kết nối đến

• Nếu ứng dụng có địa chỉ proxy được cấu hình, hãy xác định trình lắng nghe proxy chuyển tiếp thông thường mà nó nên dùng.
• Nếu một cổng chuyển hướng lưu lượng mà nếu không sẽ trực tiếp, hãy kiểm tra rằng nó đến được trình lắng nghe chặn dự kiến và thiết kế NAT được hỗ trợ có giữ thông tin đích cần thiết hay không.
• Nếu cả hai chế độ cùng tồn tại, hãy kiểm tra máy khách đang lỗi thực sự đã kết nối đến địa chỉ và cổng nào.

Tài liệu http_port của Squid làm rõ sự khác biệt: bỏ cờ chế độ sẽ chọn chế độ proxy chuyển tiếp; intercept mong đợi chặn NAT ở tầng IP.

Sau đó xử lý bảo mật vận chuyển riêng. Một proxy HTTP có thể mang HTTPS qua CONNECT. Kết nối TLS đến proxy đòi hỏi trình lắng nghe và cấu hình máy khách tương thích. Giải mã lưu lượng đến đích lại là một khả năng tùy chọn khác.

Đừng sao chép “bản sửa HTTPS” cũ vốn bật tạo chứng chỉ chỉ vì URL đích bắt đầu bằng HTTPS. Trước tiên hãy sửa sự thống nhất giữa máy khách và trình lắng nghe. Nếu sau đó còn lại lỗi TLS thật, đó sẽ là lỗi hữu ích hơn để điều tra.