Đây là một số nền tảng về vấn đề của tôi:
- Tôi có một dịch vụ web chạy trên Heroku, với một địa chỉ IP động. IP tĩnh trên Heroku không phải là một lựa chọn.
- Tôi cần kết nối với một dịch vụ web bên ngoài tường lửa. Những người vận hành dịch vụ web bên ngoài sẽ chỉ mở tường lửa của họ đến một IP tĩnh cụ thể.
Giải pháp đã cố gắng của tôi là sử dụng Squid trên một máy chủ riêng biệt có IP tĩnh để chuyển tiếp các yêu cầu proxy từ Heroku sang dịch vụ bên ngoài. Theo cách đó, dịch vụ bên ngoài luôn nhìn thấy IP tĩnh của máy chủ proxy, thay vì IP động của dịch vụ Heroku.
Vì máy chủ proxy của tôi không thể dựa vào địa chỉ IP để xác thực (đó là vấn đề bắt đầu!), Nên nó phải dựa vào tên người dùng và mật khẩu. Hơn nữa, tên người dùng và mật khẩu không thể được truyền đi bằng văn bản rõ ràng, bởi vì nếu kẻ tấn công chặn văn bản rõ ràng đó, thì chúng có thể kết nối với proxy của tôi giả vờ là tôi, thực hiện các yêu cầu gửi đi bằng IP tĩnh của proxy của tôi và do đó trốn tránh bên ngoài tường lửa của dịch vụ web.
Do đó, proxy Squid chỉ phải chấp nhận kết nối qua HTTPS, không phải HTTP. (Kết nối với dịch vụ web bên ngoài có thể là HTTP hoặc HTTPS.)
Tôi đang chạy Squid 3.1.10 trên CentOS 6.5.x và squid.confcho đến nay là của tôi . Chỉ nhằm mục đích khắc phục sự cố, tôi đã tạm thời kích hoạt cả proxy HTTP và HTTPS, nhưng tôi chỉ muốn sử dụng HTTPS.
#
# Recommended minimum configuration:
#
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl localnet src fc00::/7 # RFC 4193 local private network range
acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
# Authorization
auth_param digest program /usr/lib64/squid/digest_pw_auth -c /etc/squid/squid_passwd
auth_param digest children 20 startup=0 idle=1
auth_param digest realm squid
auth_param digest nonce_garbage_interval 5 minutes
auth_param digest nonce_max_duration 30 minutes
auth_param digest nonce_max_count 50
acl authenticated proxy_auth REQUIRED
#
# Recommended minimum Access Permission configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
# Deny requests to certain unsafe ports
http_access deny !Safe_ports
# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports
# We strongly recommend the following be uncommented to protect innocent
# web applications running on the proxy server who think the only
# one who can access services on "localhost" is a local user
#http_access deny to_localhost
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
#http_access allow localnet
#http_access allow localhost
http_access allow authenticated
# And finally deny all other access to this proxy
http_access deny all
# Squid normally listens to port 3128
http_port 3128
https_port 3129 cert=/etc/squid/ssl/cert.pem key=/etc/squid/ssl/key.pem
# We recommend you to use at least the following line.
hierarchy_stoplist cgi-bin ?
# Disable all caching
cache deny all
# Uncomment and adjust the following to add a disk cache directory.
#cache_dir ufs /var/spool/squid 100 16 256
# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid
# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320
Sử dụng thiết lập này, proxy HTTP hoạt động tốt, nhưng proxy HTTPS thì không.
Đây là một yêu cầu proxy HTTP từ một hộp cục bộ:
$ curl --proxy http://my-proxy-server.example:3128 \
--proxy-anyauth --proxy-user redacted:redacted -w '\n' \
http://urlecho.appspot.com/echo?body=OK
OK
Tốt, đó là những gì tôi mong đợi. Điều này dẫn đến một dòng trong /var/log/squid/access.log:
1390250715.137 41 my.IP.address.redacted TCP_MISS/200 383 GET http://urlecho.appspot.com/echo? redacted DIRECT/74.125.142.141 text/html
Đây là một yêu cầu khác, lần này với HTTPS:
$ curl --proxy https://my-proxy-server.example:3129 \
--proxy-anyauth --proxy-user redacted:redacted -w '\n' \
http://urlecho.appspot.com/echo?body=OK
curl: (56) Recv failure: Connection reset by peer
Không có gì access.logsau cái này, nhưng trong cache.log:
2014/01/20 20:46:15| clientNegotiateSSL: Error negotiating SSL connection on FD 10: error:1407609C:SSL routines:SSL23_GET_CLIENT_HELLO:http request (1/-1)
Đây là một lần nữa ở trên, rõ ràng hơn:
$ curl -v --proxy https://my-proxy-server.example:3129 \
--proxy-anyauth --proxy-user redacted:redacted -w '\n' \
http://urlecho.appspot.com/echo?body=OK
* Adding handle: conn: 0x7f9a30804000
* Adding handle: send: 0
* Adding handle: recv: 0
* Curl_addHandleToPipeline: length: 1
* - Conn 0 (0x7f9a30804000) send_pipe: 1, recv_pipe: 0
* About to connect() to proxy my-proxy-server.example port 3129 (#0)
* Trying proxy.server.IP.redacted...
* Connected to my-proxy-server.example (proxy.server.IP.redacted) port 3129 (#0)
> GET http://urlecho.appspot.com/echo?body=OK HTTP/1.1
> User-Agent: curl/7.30.0
> Host: urlecho.appspot.com
> Accept: */*
> Proxy-Connection: Keep-Alive
>
* Recv failure: Connection reset by peer
* Closing connection 0
curl: (56) Recv failure: Connection reset by peer
Trông giống như một lỗi SSL. Tuy nhiên, tôi đang sử dụng chứng chỉ SSL ký tự phụ tên miền phụ, được hiển thị trong cấu hình ở trên cert.pemvà key.pem, tôi đã triển khai thành công trên các máy chủ web khác. Ngoài ra, truy cập máy chủ proxy trực tiếp với curl hoạt động hoặc ít nhất là thiết lập kết nối qua giai đoạn SSL:
$ curl https://my-proxy-server.example:3129
<!DOCTYPE html PUBLIC "-//W3C//DTD HTML 4.01//EN" "http://www.w3.org/TR/html4/strict.dtd">
<html><head>
<meta http-equiv="Content-Type" content="text/html; charset=utf-8">
<title>ERROR: The requested URL could not be retrieved</title>
[--SNIP--]
<div id="content">
<p>The following error was encountered while trying to retrieve the URL: <a href="https://serverfault.com/">/</a></p>
<blockquote id="error">
<p><b>Invalid URL</b></p>
</blockquote>
<p>Some aspect of the requested URL is incorrect.</p>
<p>Some possible problems are:</p>
<ul>
<li><p>Missing or incorrect access protocol (should be <q>http://</q> or similar)</p></li>
<li><p>Missing hostname</p></li>
<li><p>Illegal double-escape in the URL-Path</p></li>
<li><p>Illegal character in hostname; underscores are not allowed.</p></li>
</ul>
[--SNIP--]
Bất cứ ý tưởng những gì tôi đang làm sai? Là những gì tôi đang cố gắng thậm chí có thể? Cảm ơn trước.