Правила за достъп на Squid 6 за един клиентски IP

Ограничете Squid 6.13 forward прокси до познат клиент, запазете защитите на целите и проверете реда на правилата преди внедряване.

Тази конфигурация е за Squid 6.13, включително пакета на Debian 13. Потвърдете инсталираната версия с squid -v: справочникът за директивите на Squid посочва http_access като недостъпна във версия 8.

Първо изберете адресите

Слушателят се нуждае от адрес, присвоен на сървъра. Клиентското правило изисква адреса на източника, който Squid вижда; това може да е публичният изходен адрес на NAT мрежа, а не частният адрес на лаптопа.

Заменете документационните адреси по-долу. Ограничението за клиента е един адрес, изразен като /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Заменете съответния слушател, ACL дефинициите и правилата за достъп в конфигурацията на пакета, като запазите настройките за логове и файлова система. Добавяне на тези правила под по-ранно разрешение за клиент може да заобиколи ограничението. Повторните дефиниции на списъчен ACL също могат да добавят стойности.

Как заявките преминават през правилата

Първоначалните забрани отхвърлят нежелани целеви портове, заявки за управление и локални или link-local цели. Познатият клиент се допуска след тези проверки; всички други заявки стигат до крайната забрана. Защитите на целите остават нужни, защото списък само с разрешени източници не ограничава целите.

Ограничете защитната стена на хоста или мрежата до предвидения източник преди отваряне на слушателя. Обвързването избира къде Squid приема връзки; правилата за достъп определят кои заявки допуска.

sudo squid -k parse -f /etc/squid/squid.conf

Поправете грешките при анализиране преди презареждане на управляваната услуга. Тествайте от разрешения клиент и втори контролиран източник, който трябва да бъде отхвърлен. Потвърдете, че целта получава само разрешената заявка: само TCP връзка не доказва разрешение за препредаване.

Подобни статии