דערלויבן איין צוגאָב־HTTPS־פּאָרט דורך Squid

אַן HTTPS־דינסט אויף פּאָרט 8443 קען דורכפֿאַלן דורך אַ ריכטיק קאָנפֿיגורירטן Squid־פּראָקסי, אַפֿילו ווען געוויינטלעכער HTTPS אויף 443 אַרבעט. באַטראַכט די CONNECT־אָפּזאָג און די כּללים פֿאַר ציל־פּאָרטן איידער איר ענדערט דעם פּראָקסי־פּראָטאָקאָל פֿונעם קליענט.

אין אַ טיפֿישער צוטריט־פּאָליטיק פֿון Squid 6.13 זענען צוויי קאָנטראָלן וויכטיק: דאָס ציל מוז דורכגיין Safe_ports, און CONNECT מוז דורכגיין SSL_ports. צולייגן דעם פּאָרט צו בלויז איין ACL קען לאָזן די אַנדערע אָפּזאָג אין כּוח.

פֿאַרברייטערט די עקזיסטירנדיקע דעפֿיניציעס מיט באַדאַכט

פֿאַר אַ פּאָליטיק וואָס דערלויבט געוויינטלעכע וועב־פּאָרטן און איין צוגאָב־HTTPS־פּאָרט:

acl Safe_ports port 80 443 8443
acl SSL_ports port 443 8443

פֿאַרבײַט אָדער רעדאַגירט די שייכדיקע דעפֿיניציעס, כּדי נישט איבערצולאָזן אַן אומדערוואַרטע אַלטע גרופּע ווערטן. היט אָפּ די געוויינטלעכע כּללים וואָס זאָגן אָפּ אומזיכערע פּאָרטן און CONNECT, און די געפּלאַנטע קליענט־באַגרענעצונגען.

האַלט די אויסנאַם שמאָל

אויב דער צוגאָב־פּאָרט איז נייטיק בלויז פֿאַר איין קאָנטראָלירטן ציל, לייגט אַ געצילטע אָפּזאָג פֿאַרן כּלל וואָס דערלויבט דעם קליענט:

acl extra_tls_port port 8443
acl approved_tls_target dst 203.0.113.20/32
http_access deny CONNECT extra_tls_port !approved_tls_target

די אַדרעס איז אַ בײַשפּיל פֿאַר דאָקומענטאַציע. ניצט דאָס ציל וואָס איר פֿאַרוואַלט אָדער צו וועלכן איר האָט דערלויבעניש צוצוקומען, און נעמט אין באַטראַכט די אמתע ענדערונגען אין זײַן אַדרעס. דאָס באַגרענעצט די אויסנאַם פֿאַרן צוגאָב־פּאָרט אַנשטאָט צו דערלויבן יעדעס ציל אויף 8443.

לאָזט פּאַרסן די גאַנצע אַקטיווע קאָנפֿיגוראַציע און קאָנטראָלירט די ריי פֿון די כּללים. אַ ריכטיק געשריבן אָפּזאָג נאָך אַ פּאַסיקן כּלל וואָס דערלויבט דעם קליענט וועט נישט געבן די געוווּנטשענע באַגרענעצונג.

פּרוּווט דעם ערלויבטן האָסטנאָמען מיט זײַן אמתן סערטיפֿיקאַט און פּאָרט, דערנאָך פּרוּווט אַ קאָנטראָלירטן ציל וואָס זאָל ווײַטער ווערן אָפּגעזאָגט. האַלט TLS־באַשטעטיקונג אָנגעצונדן צו אונטערשיידן טעותים אין דער ציל־אידענטיטעט פֿון טעותים אין דער פּראָקסי־פּאָליטיק. נעמט נישט אַוועק דעם גאַנצן CONNECT־שוץ כּדי איין בקשה צו אַ באַזונדערן פּאָרט זאָל אַרבעטן.