Дазволіць адну мэту Squid без аўтэнтыфікацыі проксі

Старонка маніторынгу павінна працаваць без уваходу праз проксі. Відавочнае правіла — http_access allow status_site. Калі змясціць яго перад аўтэнтыфікацыяй, яно можа таксама даць выключэнне кліентам, якіх вы не мелі намеру абслугоўваць.

Для Squid 6 або 7 трымайце ўмовы выключэння разам. Пасля існуючых сродкаў абароны для кіравання, небяспечных партоў, CONNECT і лакальных службаў адпаведная частка можа выглядаць так:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Сетка і імя хоста — гэта запаўняльнікі. Аўтэнтыфікацыя ўсё яшчэ патрабуе існуючай канфігурацыі дапаможніка. Гэта частка выключэння ў палітыцы доступу, а не поўная канфігурацыя проксі.

Першы радок дазваляе выбраным кліентам доступ да гэтай мэты без праверкі ACL уваходу. Наступны дазваляе гэтым кліентам іншыя месцы толькі пасля аўтэнтыфікацыі. Ранейшыя шырокія дазволы або пазнейшыя альтэрнатыўныя шляхі могуць змяніць вынік, таму чытайце поўную ўпарадкаваную палітыку, уключаючы ўключаныя файлы.

Не перамяшчайце выключэнне вышэй за абарону партоў прызначэння толькі каб пазбегнуць запыту. Аўтарызаваны сайт на непажаданым порце — усё яшчэ іншы маршрут. Таксама вырашыце, ці дакладны хост або яго паддамены павінны адпавядаць, замест таго каб дадаваць непатрэбна шырокі суфікс.

Выключэнне для імя хоста ахоплівае адпаведную мэту, а не кожную залежнасць, якую загружае яго старонка. Перанакіраванні і староннія рэсурсы могуць цалкам законна сутыкнуцца са звычайным патрабаваннем уваходу.

Для звычайнага HTTP проксі можа выкарыстоўваць больш дакладную інфармацыю URL, дзе гэта мэтазгодна. Звычайны запыт HTTPS CONNECT не паказвае шлях старонкі, таму правіла «толькі адна старонка» нельга вывесці з выключэння тунэлю для ўсяго хоста.