ssl - squid ssl bump sslv3 强制允许旧站点

Question

我已经将 squid(3.4.2) 配置为 ssl bumped 代理。我在 firefox(29) 中设置代理以将 squid 用于 https/http。现在它适用于大多数站点，但一些支持旧 SSL proto(sslv3) 的站点中断了，我看到 squid 没有像浏览器那样使用任何解决方法。

应该工作的站点:https://usc-excel.officeapps.live.com/ , https://www.mahaconnect.in , https://kz.grfc.ru/portal/faces/app/materials/active.jspx

作为解决方法，我设置了 sslproxy_version=3 ，它强制 SSLv3 和更高版本的网站工作。

我的问题:是否有更好的方法来做到这一点，而不涉及为支持 TLS1 或更好的服务器强制执行 SSLv3。

现在我知道 openssl 不会自动处理它。但我想鱿鱼会。

我的 squid conf snipper:

http_port 3128 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/usr/local/squid/certs/SquidCA.pem

always_direct allow all ssl_bump server-first all sslcrtd_program /usr/local/squid/libexec/ssl_crtd -s /usr/local/squid/var/lib/ssl_db -M 4MB

client_persistent_connections on server_persistent_connections on

sslproxy_version 3

sslproxy_options ALL

cache_dir aufs /usr/local/squid/var/cache/squid 100 16 256

coredump_dir /usr/local/squid/var/cache/squid

strip_query_terms off

httpd_suppress_version_string on

via off

forwarded_for transparent

vary_ignore_expire on

refresh_pattern ^ftp: 1440 20% 10080 refresh_pattern ^gopher: 1440 0% 1440 refresh_pattern -i (/cgi-bin/|\?) 0 0% 0 refresh_pattern . 0 20% 4320

Answer 1

这个问题与 Serverfault 比 stackoverflow 更同步。我在那里得到了答案。 https://serverfault.com/questions/604824/squid-ssl-bump-sslv3-enforce-to-allow-old-sites

我在两个站点中都保持了相同的问题主题，并保留了这个问题，以防万一有人在这里偶然发现了这个问题而不是 serverfault。主持人可以随意将这个问题从 stackoverflow 中剔除。

我不得不停止支持 openssl 支持的所有密码，并放置我的自定义列表，该列表将根据需要进行扩展。 https://usc-excel.officeapps.live.com/支持 RC4-MD5 所以我的密码列表是:

sslproxy_cipher EDH-RSA-DES-CBC3-SHA:ECDHE-RSA-RC4-SHA:ECDHE-RSA-AES128-SHA:DHE-RSA-AES128-SHA:DHE-RSA-CAMELLIA128-SHA:AES128-SHA: RC4-SHA:RC4-MD5:HIGH:!aNULL:!MD5:!ADH