Squid SSL Bump: Difference between revisions
Jump to navigation
Jump to search
No edit summary |
|||
| Line 7: | Line 7: | ||
cd ssl_certs | cd ssl_certs | ||
и используя openssl | и используя openssl создаётся сертификат: | ||
openssl req -new -newkey rsa:2048 -sha256 -days 365 -nodes -x509 -keyout myKey.pem -out myCA.pem | openssl req -new -newkey rsa:2048 -sha256 -days 365 -nodes -x509 -keyout myKey.pem -out myCA.pem | ||
| Line 16: | Line 16: | ||
== Настройка squid.conf == | == Настройка squid.conf == | ||
Файл "squid.conf": | |||
http_port 3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_certs/myCA.pem | |||
Для вкючения SSL Bump: | |||
always_direct allow all | |||
ssl_bump allow all | |||
# the following two options are unsafe and not always necessary: | |||
sslproxy_cert_error allow all | |||
sslproxy_flags DONT_VERIFY_PEER | |||
== Динамическая конфигурация сертификатов == | == Динамическая конфигурация сертификатов == | ||
Для возможности создания динамических сертификатов squid должен быть собран с опциями: | Для возможности создания динамических сертификатов squid должен быть собран с опциями: | ||
Revision as of 19:34, 27 May 2015
Создание сертификата
Сертификат может быть самоподписанным. Для этого вначале создаётся каталог для хранения сертификата:
cd /etc/squid mkdir ssl_certs chown squid:squid ssl_certs chmod 700 ssl_certs cd ssl_certs
и используя openssl создаётся сертификат:
openssl req -new -newkey rsa:2048 -sha256 -days 365 -nodes -x509 -keyout myKey.pem -out myCA.pem
Также создаётся DER-сертификат для импортирования вброузеры:
openssl x509 -in myCA.pem -outform DER -out myCA.der
который должен быть сохранён в секции "Authorities".
Настройка squid.conf
Файл "squid.conf":
http_port 3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_certs/myCA.pem
Для вкючения SSL Bump:
always_direct allow all ssl_bump allow all # the following two options are unsafe and not always necessary: sslproxy_cert_error allow all sslproxy_flags DONT_VERIFY_PEER
Динамическая конфигурация сертификатов
Для возможности создания динамических сертификатов squid должен быть собран с опциями:
./configure --enable-ssl --enable-ssl-crtd ... make all make install