Regles d’accés de Squid 6 per a una IP client

Restringeix un proxy directe Squid 6.13 a un client conegut, conserva les proteccions de destí i comprova l’ordre de les regles abans del desplegament.

Aquesta configuració és per a Squid 6.13, inclòs el paquet de Debian 13. Confirma la versió instal·lada amb squid -v: la referència de directives de Squid marca http_access com a no disponible a la versió 8.

Tria primer les adreces

El servei d’escolta necessita una adreça assignada al servidor. La regla del client necessita l’adreça d’origen que observa Squid, que pot ser la sortida pública d’una xarxa NAT en lloc de l’adreça privada d’un portàtil.

Substitueix les adreces de documentació següents. La restricció del client és una única adreça expressada com a /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Substitueix el servei d’escolta, les definicions ACL i les regles d’accés corresponents a la configuració del paquet, conservant els ajustos de registre i sistema de fitxers. Afegir aquestes regles sota una autorització de client anterior pot evitar la restricció. Les definicions repetides d’una ACL de llista també poden afegir valors.

Com passen les peticions per les regles

Les denegacions inicials rebutgen ports de destí no desitjats, peticions de gestió i destins locals o d’enllaç local. El client conegut és autoritzat després d’aquestes comprovacions; totes les altres peticions arriben a la denegació final. Les proteccions de destí continuen sent necessàries perquè una llista d’orígens permesos no limita els destins per si sola.

Restringeix el tallafoc del host o de la xarxa a l’origen previst abans d’exposar el servei. La vinculació tria on Squid accepta connexions; les regles d’accés determinen quines peticions permet.

sudo squid -k parse -f /etc/squid/squid.conf

Corregeix els errors d’anàlisi abans de recarregar el servei gestionat. Prova des del client autoritzat i un segon origen controlat que s’hauria de denegar. Confirma que el destí només rep la petició autoritzada: una connexió TCP per si sola no demostra permís de reenviament.

Articles relacionats