Protocol PROXY de Squid: confieu en el remitent abans de les comprovacions d'accés HTTP

Feu servir proxy_protocol_access per confiar en el relé que subministra les metadades, no per triar llocs web permesos. A Squid 5–7, la comprovació s'executa una vegada després de la configuració TCP en un oient require-proxy-header, abans que es processin les capçaleres de la petició HTTP:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Substituïu l'adreça de relé de l'exemple i limiteu l'accés de xarxa a aquest oient. En aquesta etapa, Squid comprova el par TCP real abans d'acceptar les metadades subministrades. Després de l'acceptació, utilitza l'adreça de client afirmada per a les comprovacions ACL i el registre posteriors. Confiar en un relé basant-se en l'adreça de client que afirma invertiria aquest ordre.

Reserveu http_access per als permisos posteriors de font de client i de destinació. Acceptar metadades no autoritza l'accés a llocs web, i una ACL de domini de destinació no pot respondre la pregunta anterior sobre la confiança en el remitent.

El remitent i el receptor han d'acordar una versió compatible del protocol PROXY. Un client HTTP simple no pot utilitzar aquest oient amb prefix obligatori com a punt final de proxy ordinari. Si calen les dues formes, feu servir punts final deliberadament separats en lloc de duplicar la mateixa adreça d'escolta i port.

Un relé de confiança pot influir en l'autorització basada en adreça mitjançant la identitat de client que subministra. Concediu aquesta capacitat només a l'intermediari previst.