Una regla allow de Squid vol dir AND; dues poden voler dir OR

Llegeix aquesta política en veu alta: permet que la xarxa de l'oficina faci servir el proxy per a la destinació aprovada. Si aquestes condicions van juntes, mantén-les juntes a la regla.

http_access allow office_clients approved_destination

Les dues ACL han de coincidir perquè aquella línia permeti la petició. Dividir-la canvia la política:

http_access allow office_clients
http_access allow approved_destination

Ara els clients de l'oficina poden permetre's sense la restricció de destinació, i les peticions a aquella destinació sense la restricció d'oficina, tret que una regla anterior les hagi denegat. Dues línies no són una manera més llegible d'escriure'n una.

L'ordre forma part de la política

Squid avalua les regles d'accés en seqüència. La primera decisió coincident controla la petició. Un allow all anterior anul·la una restricció posterior acurada; una denegació coincident anterior impedeix arribar a una permetuda posterior.

La documentació d'http_access explica aquesta seqüència. Mantén una denegació final deliberada en lloc de confiar que el lector recordi el comportament implícit per defecte.

Moltes definicions d'ACL tenen una relació OR diferent: una ACL d'origen anomenada pot llistar diversos rangs permesos. Això no fa que la identitat d'origen i destinació siguin el mateix tipus d'ACL. Defineix-les per separat i després combina els noms en una decisió d'accés.

Per a una sortida privada, això afecta qui pot usar la teva IP exterior. Considera quatre casos: client aprovat cap a destinació aprovada, client aprovat en un altre lloc, un altre client cap a la destinació aprovada i un altre client en un altre lloc. Si les regles permeten més casos dels que la política pretén, corregeix la lògica abans d'ampliar l'oient. Una configuració sintàcticament vàlida encara pot expressar permisos equivocats.