ssl - 如何为内容适配设置 SSL bumping

Question

我需要设置一个反向代理来拦截 HTTPS 请求、解密它们、执行正文适配并最终转发重新加密的请求。

我现在正在使用 Squid，它提供对 eCAP 插件和 ssl bumping 的支持:http://wiki.squid-cache.org/Features/SslBump

如果我理解得很好，通过配置 SSL bumping 我可以完全按照我上面所说的去做。但是，ssl bumping 目前不起作用。

这是我的鱿鱼配置:

https_port 8080 cert=/etc/squid/cert.pem key=/etc/squid/key.pem
http_port 3128 ssl-bump cert=/etc/squid/cert.pem key=/etc/squid/key.pem dynamic_cert_mem_cache_size=4MB generate-host-certificates=on
cache_peer 52.170.25.214 parent 8080 0 no-query originserver login=PASS
#always_direct allow all
ssl_bump allow all
sslproxy_cert_error allow all
sslproxy_flags DONT_VERIFY_PEER

客户端，在尝试向 https://127.0.0.1:8080 发送请求时出现以下错误:

Connection reset by peer

如果目标服务器正在运行 HTTPS，就会发生这种情况。看起来 Squid 正在尝试建立一个简单的 HTTP 连接而不是 HTTPS 请求。实际上，我在服务器端遇到了一个 SSL23_GET_CLIENT_HELLO 错误。

我的配置有问题吗？关于 SSL bump 的工作原理，我是否遗漏了什么？

Answer 1

我深入研究了这个问题，这是我发现的:

1) 不需要 ssl-bump 选项

2) 问题是在下一行中缺少 ssl 选项

cache_peer 52.170.25.214 parent 8080 0 no-query originserver login=PASS **ssl**