Правілы доступу Squid 6 для аднаго IP кліента

Гэта канфігурацыя для Squid 6.13, у тым ліку пакета Debian 13. Пацвердзіце ўсталяваную версію праз squid -v: даведнік дырэктыў Squid пазначае http_access як недаступную ў версіі 8.

Спачатку выберыце адрасы

Слухачу патрэбны адрас, прызначаны серверу. Правілу кліента патрэбны зыходны адрас, які бачыць Squid; гэта можа быць публічны выходны адрас сеткі NAT, а не прыватны адрас ноўтбука.

Замяніце дакументацыйныя адрасы ніжэй. Абмежаванне кліента — адзін адрас у выглядзе /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Замяніце адпаведнага слухача, азначэнні ACL і правілы доступу ў канфігурацыі пакета, захаваўшы налады журналаў і файлавай сістэмы. Даданне гэтых правіл пасля ранейшага дазволу кліенту можа абысці абмежаванне. Паўторныя азначэнні спісавай ACL таксама могуць дадаваць значэнні.

Як запыты праходзяць праз правілы

Пачатковыя забароны адхіляюць непажаданыя парты прызначэння, запыты кіравання і мясцовыя або link-local мэты. Вядомы кліент дапускаецца пасля гэтых праверак; астатнія запыты даходзяць да канчатковай забароны. Абарона мэт застаецца патрэбнай, бо сам спіс дазволеных крыніц не абмяжоўвае мэты.

Да адкрыцця слухача абмяжуйце брандмаўэр хоста або сеткі меркаванай крыніцай. Прывязка выбірае, дзе Squid прымае злучэнні; правілы доступу вызначаюць, якія запыты ён дазваляе.

sudo squid -k parse -f /etc/squid/squid.conf

Выпраўце памылкі разбору перад перазагрузкай канфігурацыі кіраванай службы. Праверце з дазволенага кліента і другой кантраляванай крыніцы, якую трэба адхіліць. Пераканайцеся, што мэта атрымлівае толькі дазволены запыт: адно TCP-злучэнне не даказвае дазволу на перадачу.