Изисквайте едновременно вход в Squid и правилния клиентски IP

Ограничете именуван Squid прокси потребител до одобрен адрес на източника, като изисквате и двете ACL условия.

Правилната парола е само половината от тази политика: акаунтът трябва да работи и от един одобрен клиентски адрес. В Squid поставянето на двете проверки в едно правило за достъп е разликата между това изискване и два отделни пътя за вход.

Ако удостоверяването вече е настроено, например настройка на Squid 6.13 NCSA, основната политика е:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Използвайте източника, който Squid действително получава; примерът е документационен адрес. Запазете предишните защити за опасни портове местоназначение, локални услуги и CONNECT трафик. Този фрагмент показва комбинираното условие, а не пълна конфигурация на слушател.

Проверете правилата над него

По-ранно широко разрешение може да приеме заявката, преди тя да стигне до новото условие. Справката за http_access описва подредено съвпадение. Прочетете цялата последователност, включително включените файлове.

Едно разрешение за потребителското име и друго за източника не изискват и двете. Всеки ред може да успее независимо. Това е различна политика.

ACL proxy_auth зависи от помощник за удостоверяване. Дефинирането му не е начинът да създадете потребителя или да валидирате паролата. Този пример е за явен прокси, чиито клиенти могат да отговарят на предизвикателства за прокси удостоверяване.

Идентичността на източника също има граници. Хората зад един NAT могат да споделят адрес, а движещ се лаптоп може да сменя адреси. Допълнителното условие стеснява използваемото мрежово местоположение на акаунта; то не идентифицира надеждно физически компютър. Уверете се, че това ограничение съответства на причината, поради която сте добавили условието.

Подобни статии