Squid PROXY protokol: vjerujte pošiljaocu prije HTTP provjera pristupa
Držite provjere pošiljaoca PROXY protokola u Squidu odvojeno od autorizacije odredišne domene i klijentskog zahtjeva.
Koristite proxy_protocol_access da vjerujete releju koji dostavlja metapodatke, a ne da birate dozvoljene web stranice. U Squidu 5–7 provjera se izvršava jednom nakon uspostavljanja TCP-a na slušaču require-proxy-header, prije obrade zaglavlja HTTP zahtjeva:
acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny allZamijenite primjer adrese releja i ograničite mrežni pristup ovom slušaču. U ovoj fazi Squid provjerava stvarnog TCP partnera prije nego prihvati dostavljene metapodatke. Nakon prihvatanja koristi tvrđenu adresu klijenta za naredne ACL provjere i zapisivanje. Povjerenje releju na osnovu adrese klijenta koju tvrdi obrnulo bi taj redoslijed.
Zadržite http_access za kasnije dozvole za izvor klijenta i odredište. Prihvatanje metapodataka ne autorizira pristup web stranicama, a ACL odredišne domene ne može odgovoriti na ranije pitanje povjerenja u pošiljaoca.
Pošiljalac i primalac moraju se dogovoriti o podržanoj verziji PROXY protokola. Običan HTTP klijent ne može koristiti ovaj slušač s obaveznim prefiksom kao običnu proxy krajnju tačku. Ako su potrebna oba oblika, koristite namjerno odvojene krajnje tačke umjesto dupliciranja iste adrese slušanja i porta.
Pouzdani relej može uticati na autorizaciju zasnovanu na adresi kroz identitet klijenta koji dostavlja. Dodijelite tu mogućnost samo predviđenom posredniku.