Combinar myportname i src de Squid amb ACL separats

Combina un listener Squid amb nom i una xarxa de clients permesa sense posar dos tipus d’ACL a la mateixa definició.

La configuració sembla plausible a primera vista:

acl team_a myportname 3128 src 198.51.100.0/24

Però una definició d’ACL té un sol tipus. Aquí myportname és el tipus; afegir la paraula src no inicia una segona comprovació. La resta de paraules pertanyen a la llista de valors del primer tipus. Aquesta línia no expressa «aquest listener i aquesta xarxa de clients».

Doneu un nom a cada condició

Feu servir un nom per al socket d’escolta i un ACL d’origen separat. Aquest extracte utilitza adreces de documentació, que cal substituir per adreces adequades al desplegament:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Col·loqueu la regla d’autorització després de les proteccions existents per a ports de destinació insegurs, objectius CONNECT restringits i accés d’administració. L’extracte il·lustra la condició client/listener; no substitueix aquestes proteccions.

Les condicions d’una línia http_access es combinen amb AND. Dues línies d’autorització separades admetrien cada condició de manera independent, cosa que canviaria molt la política. Diversos valors dins d’un ACL normalment ofereixen alternatives per a aquesta única comprovació.

Trieu la sortida per separat

Un listener coincident també es pot fer servir amb tcp_outgoing_address per triar una adreça d’origen local. Això és selecció d’encaminament, no permís per utilitzar el proxy. Una regla d’adreça de sortida no pot fer que una petició denegada passi per http_access.

Si una configuració amb diverses adreces deixa de funcionar després d’una actualització, separeu les proves: un error d’anàlisi apunta a la sintaxi de la configuració; una denegació d’accés apunta a la coincidència de regles; una petició permesa amb la sortida incorrecta apunta a la selecció de sortida o a un NAT posterior. Canviar les tres coses alhora fa que un petit error d’ACL sigui molt més difícil de trobar.

Articles relacionats