Jedno Squid allow pravilo znači AND; dva mogu značiti OR

Pročitajte ovu politiku naglas: dozvolite uredskoj mreži da koristi proxy za odobreno odredište. Ako ti uslovi pripadaju zajedno, držite ih zajedno u pravilu.

http_access allow office_clients approved_destination

Oba ACL-a moraju se podudarati da bi taj red dozvolio zahtjev. Njegovo razdvajanje mijenja politiku:

http_access allow office_clients
http_access allow approved_destination

Uredski klijenti sada mogu biti dozvoljeni bez ograničenja odredišta, a zahtjevi prema tom odredištu bez uredskog ograničenja, osim ako ih je ranije pravilo odbilo. Dva reda nisu čitljiviji način pisanja jednog reda.

Redoslijed je dio politike

Squid procjenjuje pravila pristupa po redu. Prva odluka koja se podudara kontrolira zahtjev. Ranije allow all poništava pažljivo kasnije ograničenje; ranije podudarno odbijanje sprječava dolazak do kasnijeg dozvoljavanja.

Dokumentacija za http_access objašnjava ovaj redoslijed. Zadržite namjerno konačno odbijanje umjesto da se oslanjate na to da će čitalac zapamtiti implicitno zadano ponašanje.

Mnoge ACL definicije imaju drugačiji OR odnos: jedan imenovani izvorni ACL može navesti nekoliko dozvoljenih raspona. To ne čini identitet izvora i odredišta istim tipom ACL-a. Definišite ih odvojeno, pa kombinujte imena u odluci o pristupu.

Za privatni izlaz, to utiče na to ko može koristiti vašu vanjsku IP adresu. Razmotrite četiri slučaja: odobreni klijent prema odobrenom odredištu, odobreni klijent negdje drugdje, drugi klijent prema odobrenom odredištu i drugi klijent negdje drugdje. Ako pravila dozvoljavaju više slučajeva nego što politika namjerava, popravite logiku prije nego proširite slušalicu. Sintaksno ispravna konfiguracija ipak može izražavati pogrešne dozvole.