[LINUX] [proxy https avec squid] Comment représenter une liste blanche de https avec url_regex

introduction

J'ai essayé de créer une liste blanche à utiliser avec le proxy https qui intercepte ssl. L'environnement à utiliser est le suivant qui a été créé la dernière fois. ** Créez facilement un proxy pour la liaison Active Directory et l'interception SSL avec squid avec docker **

Bref, que dois-je faire?

Les URL de liste blanche et de liste noire sont représentées par url_regex comme suit.

** Lors de la représentation d'un domaine spécifique, y compris des sous-domaines ** L'exemple suivant représente un domaine appelé qiita.com qui contient des sous-domaines.

whitelist

^(https*://)*([^/][^/]*\.)*qiita\.com(:443|:80)*(/.*)*$

** Lors de la représentation d'un domaine spécifique, y compris des sous-domaines. Donc, si vous souhaitez rassembler plusieurs chaînes de domaine qui ont quelque chose en commun ** L'exemple suivant représente un domaine appelé slack.com ou slack-edge, com qui contient des sous-domaines.

whitelist

^(https*://)*([^/][^/]*\.)*slack(-edge)*\.com(:443|:80)*(/.*)*$

Préparez la liste blanche ci-dessus en tant que fichier texte et chargez-la en tant que url_regex sur squid.com.

squid.com

acl whitelist  url_regex -i "/etc/squid/whitelist"
http_access allow whitelist

Le processus de recherche d'un moyen d'écrire

Exemple: pour qiita.com

La liste blanche uniquement fqdn vous connectera à un site malveillant.

Par exemple, supposons que vous écriviez ceci sur votre liste blanche:

whitelist

qiita\.com

Mais cela correspondrait si le chemin complet ou le sous-domaine avait la même chaîne.

match_url

https://example.com/qiita.com/exploit.js
https://qiita.com.example.com/exploit.js

Alors, pourquoi ne pas écrire ceci, en utilisant la continuité du premier protocole, pour autoriser un nom de domaine spécifique, y compris les sous-domaines?

whitelist

^https*://([^/][^/]*\.)*qiita\.com/

Ce n'était pas bon. Peut-être que pour obtenir un certificat, je vais d'abord me connecter à qiita.com: 443.

squid_log

 TCP_DENIED/407 4054 CONNECT qiita.com:443 - HIER_NONE/- text/html
 TCP_DENIED/407 4424 CONNECT qiita.com:443 - HIER_NONE/- text/html
 TCP_DENIED/200 0 CONNECT qiita.com:443 PROSPER2\\USERNAME HIER_NONE/- -

Considérons le protocole et le numéro de port dans la règle précédente. Quoi qu'il en soit, si c'est HTTP, communiquons même si vous entrez: 80. Le début de la chaîne de caractères correspond avec ou sans la notation de protocole et la fin du FQDN correspond avec ou sans le numéro de port.

whitelist

^(https*://)*([^/][^/]*\.)*qiita\.com(:443|:80)*/

C'était toujours inutile. Cela n'a pas changé. Il se termine par un numéro de port, donc la dernière barre oblique gênera et ne correspondra pas.

squid_log

 TCP_DENIED/407 4054 CONNECT qiita.com:443 - HIER_NONE/- text/html
 TCP_DENIED/407 4424 CONNECT qiita.com:443 - HIER_NONE/- text/html
 TCP_DENIED/200 0 CONNECT qiita.com:443 PROSPER2\\USERNAME HIER_NONE/- -

En plus de la règle précédente, il y a une barre oblique ou il n'y a pas de barre oblique et le numéro de port ou le nom de domaine complet se trouve à la fin de la chaîne. Et dit.

whitelist

^(https*://)*([^/][^/]*\.)*qiita\.com(:443|:80)*(/.*)*$

Le site racine a pu confirmer la communication à la fois sur https: // qiita.com / et le site du sous-domaine était sur https: // zine.qiita.com /. Peut-être que c'est OK.

Exemple: pour slack.com

Autorisons également les sites slack.

whitelist

^(https*://)*([^/][^/]*\.)*slack\.com(:443|:80)*(/.*)*$

En le regardant avec un navigateur, c'est à mi-chemin.

En regardant le journal, je vais communiquer avec slack-edge.com.

squid_log

 TCP_DENIED/407 4082 CONNECT a.slack-edge.com:443 - HIER_NONE/- text/html
 TCP_DENIED/407 4452 CONNECT a.slack-edge.com:443 - HIER_NONE/- text/html
 TCP_DENIED/407 4082 CONNECT a.slack-edge.com:443 - HIER_NONE/- text/html
 TCP_DENIED/200 0 CONNECT a.slack-edge.com:443 PROSPER2\\USERNAME HIER_NONE/- -

Cela signifie que la chaîne slack doit être suivie de la chaîne -edge ** ou ** not **.

whitelist

^(https*://)*([^/][^/]*\.)*slack(-edge)*\.com(:443|:80)*(/.*)*$

Essayons à nouveau avec un navigateur. Ouais, ça a l'air bien.

à la fin

** Il est beaucoup plus facile d'utiliser dstdomain pour les listes blanches et les listes noires ** Cependant, j'ai également essayé d'étudier les expressions régulières par essais et erreurs.