Squid SSL Bump

Создание сертификата

Сертификат может быть самоподписанным. Для этого вначале создаётся каталог для хранения сертификата:

cd /etc/squid
mkdir ssl_certs
chown squid:squid ssl_certs
chmod 700 ssl_certs
cd ssl_certs

и используя openssl создаётся сертификат:

openssl req -new -newkey rsa:2048 -sha256 -days 365 -nodes -x509 -keyout myKey.pem  -out myCA.pem

Также создаётся DER-сертификат для импортирования вброузеры:

openssl x509 -in myCA.pem -outform DER -out myCA.der

который должен быть сохранён в секции "Authorities".

Настройка squid.conf

Файл "squid.conf":

http_port 3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_certs/myCA.pem

Для вкючения SSL Bump:

always_direct allow all
ssl_bump allow all
# the following two options are unsafe and not always necessary:
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

Динамическая конфигурация сертификатов

Для возможности создания динамических сертификатов squid должен быть собран с опциями:

./configure --enable-ssl --enable-ssl-crtd ...
make all
make install