לייענען אַ Squid SO_ORIGINAL_DST טעות
באַשטעטיקט צי אַ קליענט וואָס איז בפירוש קאָנפיגורירט האָט דערגרייכט אַ אָפּכאַפּונג־צוהערער, איידער איר פֿאָרשט אַ דורכפֿאַל אין Squid'ס זוכן פֿאַר דער אָריגינעלער באַשטימונג.
NF getsockopt(SO_ORIGINAL_DST) באַצייכנט אַ זוכן פֿאַר דער אָריגינעלער באַשטימונג. אין אַן אָפּכאַפּונג־סעטאַפּ מוז Squid באַנייען וואוהין די איבערגעפֿירטע פֿאַרבינדונג איז ערשט געגאַנגען.
אַ בראַוזער וואָס איז בפירוש קאָנפיגורירט שיקט זיינע בקשות צום פּראָקסי מיטן כּוונה. יענע פֿאַרבינדונג באַקומט נישט קיין NAT־אָפּכאַפּונג־היסטאָריע בלויז ווייל intercept שטייט לעבן דעם פּאָרט פֿונעם Squid־צוהערער.
דערפֿאַר קען די אומשטימונג דורכפֿאַלן איידער דער סערטיפֿיקאַט פֿון דער באַשטימונג ווערט באַטראַכט.
אָנהייבט מיט ווי די פֿאַרבינדונג איז אָנגעקומען
- אויב די אַפּליקאַציע האָט אַ קאָנפיגורירטע פּראָקסי־אַדרעס, באַשטימט דעם געוויינטלעכן ווײַטערפֿירן־פּראָקסי־צוהערער וואָס זי זאָל ניצן.
- אויב אַ טויער פֿירט איבער פֿאַרקער וואָס וואָלט אַנדערש זיין דירעקט, באַשטעטיקט אַז עס דערגרייכט דעם געמיינטן אָפּכאַפּונג־צוהערער און אַז דער געשטיצטער NAT־פּלאַן האַלט די נייטיקע באַשטימונג־אינפֿאָרמאַציע.
- אויב ביידע מאָדעס עקזיסטירן, פּרוּווט וועלכע אַדרעס און פּאָרט דער דורכגעפֿאַלענער קליענט האָט טאַקע באַרירט.
Squid'ס דאָקומענטאַציע וועגן http_port מאַכט דעם חילוק קלאָר: אויסלאָזן אַ מאָדע־פֿענדל קלייבט דעם ווײַטערפֿירן־פּראָקסי־מאָדע; intercept ערוואַרט NAT־אָפּכאַפּונג אויף דער IP־שיכט.
דערנאָך באַהאַנדלט טראַנספּאָרט־זיכערקייט באַזונדער. אַ HTTP־פּראָקסי קען פֿירן HTTPS דורך CONNECT. אַ TLS־פֿאַרבינדונג צום פּראָקסי פֿאָדערט אַ פּאַסיקן צוהערער און קליענט־קאָנפיגוראַציע. אַנטשיפֿערן פֿאַרקער צו דער באַשטימונג איז נאָך אַן אָפּציאָנעלע פֿעיִקייט.
קאָפּירט נישט קיין אַלטע “HTTPS־לייזונג” וואָס שאַלט אָן סערטיפֿיקאַט־פּראָדוקציע בלויז ווייל די באַשטימונג־URL הייבט זיך אָן מיט HTTPS. פֿאַררעכט קודם די איבערשטימונג צווישן קליענט און צוהערער. אויב עס בלײַבט דערנאָך אַן עכטער TLS־טעות, וועט דאָס זיין אַ נוצלעכער טעות צו פֿאָרשן.