实战ssl-bump，实现squid的url过滤功能

使用代理服务器squid，想实现url过滤，禁止访问某个url，我们自然就想到了使用url_regex，可以使用正则对url进行过滤

比如说我们要禁止使用百度搜索，可使用下面的过滤

acl deny_url  url_regex //www\.baidu\.com/s
http_access deny deny_url

但是实际运行发现这个功能对https网站不起作用，对于https网站，url只能得到www.baidu.com:443这样的形式，由于ssl的限制无法得到正确的url。

要得到正确的url，必须使用ssl-bump，原理自己查资料，这里只讲实际操作

参照https://wiki.squid-cache.org/ConfigExamples/Intercept/SslBumpExplicit

1.创建动态证书存放目录

cd /etc/squid
mkdir ssl_cert
chown squid:squid ssl_cert
chmod 700 ssl_cert
cd ssl_cert

2.创建自签名证书

openssl req -new -newkey rsa:2048 -sha256 -days 3650 -nodes -x509 -extensions v3_ca -keyout myCA.pem  -out myCA.pem

3.创建浏览器证书

openssl x509 -in myCA.pem -outform DER -out myCA.der

4.创建并初始化证书缓存目录

/usr/lib64/squid/ssl_crtd -c -s /var/lib/ssl_db -M 4MB
chown squid:squid -R /var/lib/ssl_db

ssl_crtd 的目录可能有变化，需要自己去查找

5.设置ssl-bump对象文件

vi /etc/squid/ssl_cert/bump_sites.txt

输入

www.baidu.com

6.修改conf

http_port 8000 ssl-bump generate-host-certificates=on dynamic_cert_mem_cache_size=4MB cert=/etc/squid/ssl_cert/my.pem

# Bumped requests have relative URLs so Squid has to use reverse proxy
# or accelerator code. By default, that code denies direct forwarding.
# The need for this option may disappear in the future.

always_direct allow all
acl bump_sites dstdomain "/etc/squid/ssl_cert/bump_sites.txt"

#ssl_bump none broken_sites
#ssl_bump bump all
acl step1 at_step SslBump1

ssl_bump peek step1
ssl_bump bump bump_sites

启动后，文章最上面url_regex就能生效了

***********注意***********

一定要关闭selinux，否则会出错

The ssl_crtd helpers are crashing too rapidly