Squid 6-toegangsreëls vir een kliënt-IP

Beperk ’n Squid 6.13-voorwaartse proxy tot ’n bekende kliënt, behou bestemmingsbeskerming en kontroleer reëlvolgorde voor ontplooiing.

Hierdie opstelling is vir Squid 6.13, insluitend Debian 13 se pakket. Bevestig die geïnstalleerde weergawe met squid -v: Squid se opdragverwysing merk http_access as onbeskikbaar in weergawe 8.

Kies eers die adresse

Die luisterdiens benodig ’n adres wat aan die bediener toegeken is. Die kliëntreël benodig die bronadres wat Squid waarneem; dit kan ’n NAT-netwerk se openbare uitgangsadres wees eerder as ’n skootrekenaar se private adres.

Vervang die dokumentasie-adresse hieronder. Die kliëntbeperking is een adres, uitgedruk as ’n /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Vervang die betrokke luisterdiens, ACL-definisies en toegangsreëls in die pakketopstelling, maar behou die log- en lêerstelselinstellings. As jy hierdie reëls onder ’n vroeëre kliënttoelating byvoeg, kan die beperking omseil word. Herhaalde definisies van ’n lys-ACL kan ook waardes byvoeg.

Hoe versoeke deur die reëls gaan

Die aanvanklike weierings blokkeer ongewenste bestemmingspoorte, bestuursversoeke en plaaslike of skakelplaaslike bestemmings. Die bekende kliënt word ná dié kontroles toegelaat; alle ander versoeke bereik die finale weiering. Bestemmingsbeskerming bly nodig omdat ’n brontoelatingslys alleen nie bestemmings beperk nie.

Beperk die gasheer- of netwerkbrandmuur tot die beoogde bron voordat jy die luisterdiens blootstel. Binding kies waar Squid verbindings aanvaar; toegangsreëls bepaal watter versoeke dit toelaat.

sudo squid -k parse -f /etc/squid/squid.conf

Maak ontledingsfoute reg voordat jy die bestuurde diens herlaai. Toets vanaf die toegelate kliënt en ’n tweede beheerde bron wat geweier behoort te word. Bevestig dat die teiken net die gemagtigde versoek ontvang: ’n TCP-verbinding alleen bewys nie aanstuurtoestemming nie.

Verwante artikels