Разрешаване на една дестинация в Squid без удостоверяване на прокси

Страница за мониторинг трябва да работи без вход през прокси. Очевидното правило е http_access allow status_site. Поставено преди удостоверяването, то може да даде изключението и на клиенти, които никога не сте възнамерявали да обслужвате.

За Squid 6 или 7 дръжте условията на изключението заедно. След съществуващите предпазни мерки за управление, опасни портове, CONNECT и локални услуги, съответната част може да изглежда така:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Мрежата и името на хоста са заместители. Удостоверяването все още се нуждае от съществуващата си конфигурация на помощник. Това е частта с изключението от правилата за достъп, а не пълна конфигурация на прокси.

Първият ред разрешава на избраните клиенти тази дестинация, без да оценява ACL за вход. Следващият разрешава на тези клиенти другаде само след удостоверяване. По-ранни широки разрешения или по-късни алтернативни пътища могат да променят резултата, затова прочетете пълната подредена политика, включително включените файлове.

Не премествайте изключението над защитите на порта на дестинацията само за да избегнете подкана. Оторизиран сайт на нежелан порт все още е различен маршрут. Решете също дали точният хост или неговите поддомейни трябва да отговарят на условието, вместо да добавяте ненужно широк суфикс.

Изключението за име на хост покрива съответната дестинация, а не всяка зависимост, заредена от страницата му. Пренасочванията и ресурсите от трети страни могат законно да срещнат нормалното изискване за вход.

За обикновен HTTP прокси може да използва по-точна информация за URL, когато е подходящо. Обикновена HTTPS CONNECT заявка не разкрива пътя на страницата, така че правило „само една страница“ не може да се извлече от изключение за тунел за целия хост.