Патрабаваць і лагін Squid, і правільны IP кліента

Правільны пароль — гэта толькі палова гэтай палітыкі: уліковы запіс павінен таксама працаваць з аднаго дазволенага адраса кліента. У Squid змясціць дзве праверкі ў адно правіла доступу — гэта розніца паміж гэтым патрабаваннем і двума асобнымі шляхамі ўваходу.

Мяркуючы, што аўтэнтыфікацыя ўжо наладжана, напрыклад канфігурацыя Squid 6.13 NCSA, асноўная палітыка такая:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Выкарыстоўвайце крыніцу, якую Squid фактычна атрымлівае; прыклад — дакументацыйны адрас. Захавайце папярэднія сродкі абароны для небяспечных партоў прызначэння, лакальных сэрвісаў і трафіку CONNECT. Гэты фрагмент паказвае аб'яднаную ўмову, а не поўную канфігурацыю слухача.

Праверце правілы вышэй

Ранейшае шырокае дазволенне можа прыняць запыт, перш чым ён дасягне новай умовы. Даведка http_access апісвае ўпарадкаванае супастаўленне. Прачытайце ўвесь парадак, уключаючы ўключаныя файлы.

Адно дазволенне для імені карыстальніка і іншае для крыніцы не патрабуюць абодвух. Любы радок можа спрацаваць самастойна. Гэта іншая палітыка.

ACL proxy_auth залежыць ад памочніка аўтэнтыфікацыі. Яго вызначэнне — не спосаб стварыць карыстальніка або праверыць пароль. Гэты прыклад для явнага проксі, кліенты якога могуць адказваць на запыты аўтэнтыфікацыі проксі.

Ідэнтычнасць крыніцы таксама мае межы. Людзі за адным NAT могуць дзяліць адрас, а ноўтбук, які рухаецца, можа змяняць адрасы. Дадатковая ўмова звужвае даступнае сеткавае месца ўліковага запісу; яна не вызначае фізічны камп'ютар надзейна. Пераканайцеся, што гэтае абмежаванне адпавядае прычыне, па якой вы дадалі ўмову.