Настройка SSL Bumping в сервисе Squid

Рекомендуется настроить SSL Bumping в сервисе Squid для обработки шифрованных соединений. Если SSL Bumping не настроен, то прокси-сервер не может вмешаться в процесс установки шифрованного соединения. В этом случае модули защиты KWTS (Антивирус и Анти-Фишинг) не могут проверить данные, передаваемые внутри шифрованного канала связи. Это снижает уровень защиты IT-инфраструктуры организации.

Для работы SSL Bumping требуется SSL-сертификат и приватный ключ в формате PEM. Вы можете создать новый самоподписанный SSL-сертификат или использовать готовый (например, SSL-сертификат, выданный центром сертификации организации).

Если приватный ключ защищен паролем, его нужно предварительно расшифровать.

Чтобы настроить SSL Bumping в сервисе Squid:

1. Убедитесь, что используемый сервис Squid поддерживает необходимые опции. Для этого выполните команду:

   squid -v

   Параметр configure options должен содержать значения --enable-ssl-crtd и --with-openssl.

2. Скопируйте SSL-сертификат в формате PEM в файл /etc/squid/bump.crt.
3. Скопируйте приватный ключ в формате PEM в файл /etc/squid/bump.key.
4. Сгенерируйте файл параметров для алгоритма Diffie-Hellman. Для этого выполните команду:

   openssl dhparam -outform PEM -out /etc/squid/bump_dhparam.pem 2048

5. Настройте права на использование файла SSL-сертификата. Для этого выполните следующие команды в зависимости от используемой операционной системы:
   • Red Hat Enterprise Linux, Rocky Linux, РЕД ОС, Альт Сервер:

     chown squid:squid /etc/squid/bump*

     chmod 400 /etc/squid/bump*

   • Ubuntu, Debian, Astra Linux Special Edition:

     chown proxy:proxy /etc/squid/bump*

     chmod 400 /etc/squid/bump*

6. Определите версию сервиса Squid, используемую на вашем сервере. Для этого выполните команду:

   squid -v

   Информация об используемой версии отобразится в формате Squid Cache: Version <версия>.

7. Остановите сервис Squid, если он запущен. Для этого выполните команду:

   systemctl stop squid

8. Создайте каталог для базы данных сертификатов и инициализируйте базу данных. Для этого выполните следующие команды в зависимости от используемой операционной системы:
   • Red Hat Enterprise Linux, Rocky Linux, РЕД ОС:

     mkdir -p /var/lib/squid

     rm -rf /var/lib/squid/ssl_db

     /usr/lib64/squid/ssl_crtd -c -s /var/lib/squid/ssl_db

     chown -R squid:squid /var/lib/squid

   • Ubuntu, Debian, Astra Linux Special Edition:

     mkdir -p /var/lib/squid

     rm -rf /var/lib/squid/ssl_db

     /usr/lib/squid/security_file_certgen -c -s /var/lib/squid/ssl_db -M 20MB

     chown -R proxy:proxy /var/lib/squid

   • Альт Сервер:

     mkdir -p /var/lib/squid

     rm -rf /var/lib/squid/ssl_db

     /usr/lib/squid/security_file_certgen -c -s /var/lib/squid/ssl_db -M 20MB

     chown -R squid:squid /var/lib/squid

9. В конфигурационном файле /etc/squid/squid.conf выполните следующие изменения:
   1. Добавьте в начало файла или перед первой директивой http_access следующие директивы:

      acl intermediate_fetching transaction_initiator certificate-fetching

      http_access allow intermediate_fetching

   2. Добавьте в конец файла директивы в зависимости от используемой операционной системы:
      • Red Hat Enterprise Linux, Rocky Linux, РЕД ОС:

        sslcrtd_program /usr/lib64/squid/ssl_crtd -s /var/lib/squid/ssl_db -M 20MB

        sslproxy_cert_error allow all

        ssl_bump stare all

      • Ubuntu, Debian, Astra Linux Special Edition, Альт Сервер:

        sslcrtd_program /usr/lib/squid/security_file_certgen -s /var/lib/squid/ssl_db -M 20MB

        sslproxy_cert_error allow all

        ssl_bump stare all

   3. Замените директиву http_port на одну из следующих, в зависимости от версии Squid:
      • Squid версии 4.x или 5.x:

        http_port 3128 tcpkeepalive=60,30,3 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=20MB tls-cert=/etc/squid/bump.crt tls-key=/etc/squid/bump.key cipher=HIGH:MEDIUM:!LOW:!RC4:!SEED:!IDEA:!3DES:!MD5:!EXP:!PSK:!DSS options=NO_TLSv1,NO_SSLv3,SINGLE_DH_USE,SINGLE_ECDH_USE tls-dh=prime256v1:/etc/squid/bump_dhparam.pem

      • Squid версии 6.x и выше:

        http_port 3128 tcpkeepalive=60,30,3 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=20MB tls-cert=/etc/squid/bump.crt tls-key=/etc/squid/bump.key cipher=HIGH:MEDIUM:!LOW:!RC4:!SEED:!IDEA:!3DES:!MD5:!EXP:!PSK:!DSS options=NO_TLSv1,NO_SSLv3 tls-dh=/etc/squid/bump_dhparam.pem

10. Перезагрузите сервис Squid. Для этого выполните команду:

    systemctl restart squid

Настройка SSL Bumping в сервисе Squid будет завершена.