Добавяне на Basic удостоверяване към прокси Squid 6.13

Настройте NCSA помощника на Squid 6.13, съчетайте разрешен клиентски IP с валиден вход и разберете какво защитава Basic.

Тази процедура добавя Basic удостоверяване чрез NCSA към прокси Squid 6.13 с ограничен източник. Помощникът в Debian 13 е /usr/lib/squid/basic_ncsa_auth; потвърдете пътя и служебния акаунт на пакета си.

Създаване на първия акаунт

Използвайте инструмента htpasswd на дистрибуцията и въведете паролата интерактивно:

sudo htpasswd -c /etc/squid/users proxyuser
sudo chown root:proxy /etc/squid/users
sudo chmod 640 /etc/squid/users

Собствеността предполага служебната група на Debian. Squid трябва да чете файла, другите потребители не бива. За следващи акаунти пропуснете -c, който създава нов файл и може да замени съществуващи записи.

Изисквайте източник и вход в едно правило за разрешаване

Поставете това след съществуващите защити за портове на дестинацията, управление, localhost и link-local адреси:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/users
auth_param basic realm PrivateProxy

acl proxy_client src 198.51.100.27/32
acl logged_in proxy_auth REQUIRED

http_access allow proxy_client logged_in
http_access deny all

Заменете клиентския адрес с източника, наблюдаван от Squid. И двете условия трябва да съвпадат. Премахнете по-ранни широки клиентски разрешения, които биха заобиколили правилото за вход, но запазете ограниченията на слушателя и защитната стена.

Проверете синтаксиса, презаредете и сравнете две заявки

sudo squid -k parse -f /etc/squid/squid.conf

Поправете грешките на анализатора и презаредете управляваната услуга Squid преди тест. От разрешен източник заявка без данни за вход трябва да получи искане за удостоверяване. Сравнете с оторизирана заявка с истинското име на прокси хоста:

curl --proxy http://proxy.example:3128 --proxy-basic --proxy-user proxyuser --noproxy '' --connect-timeout 5 --max-time 15 https://example.com/

Само потребителско име позволява на curl да поиска паролата. Валидна заявка трябва да достигне дестинацията.

Basic не шифрова обмена между клиент и прокси. Последващият HTTPS на дестинацията не защитава данни, вече пратени на прокси в явен текст; използвайте подходящо защитен път. Директивите са за Squid 6.13; за Squid 8 проверете специфичната за версията конфигурация.

Подобни статии