Povolit jednu destinaci Squid bez ověřování proxy

Zachovejte omezení zdroje a destinace kolem záměrné výjimky ověřování v Squid.

Stránka pro monitorování musí fungovat bez přihlášení přes proxy. Zřejmé pravidlo je http_access allow status_site. Pokud je umístěno před ověřováním, může výjimku udělit i klientům, které jste nikdy nechtěli obsluhovat.

U Squid 6 nebo 7 držte podmínky výjimky pohromadě. Po stávajících ochranných opatřeních pro správu, nebezpečné porty, CONNECT a místní služby může příslušná část vypadat takto:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Síť a název hostitele jsou zástupné údaje. Ověřování stále potřebuje svou stávající konfiguraci pomocníka. Toto je výjimková část zásad přístupu, nikoli úplná konfigurace proxy.

První řádek povoluje vybraným klientům tuto destinaci bez vyhodnocení přihlašovací ACL. Následující povoluje těmto klientům jinam až po ověření. Dřívější široká povolení nebo pozdější alternativní cesty mohou výsledek změnit, proto si přečtěte celé seřazené zásady včetně vložených souborů.

Nepřesouvejte výjimku nad ochranu cílového portu jen proto, abyste se vyhnuli výzvě. Autorizovaný web na nezamýšleném portu je stále jiná cesta. Také rozhodněte, zda má kvalifikovat přesný hostitel nebo jeho subdomény, místo abyste přidávali zbytečně širokou příponu.

Výjimka pro název hostitele pokrývá odpovídající destinaci, ne každou závislost načtenou její stránkou. Přesměrování a prostředky třetích stran mohou legitimně narazit na běžný požadavek na přihlášení.

U prostého HTTP může proxy použít přesnější informace o URL, pokud je to vhodné. Běžný požadavek HTTPS CONNECT neodhaluje cestu stránky, takže pravidlo „pouze jedna stránka“ nelze odvodit z výjimky tunelu pro celého hostitele.

Související články