Jedno pravidlo allow v Squidu znamená AND; dvě mohou znamenat OR

Přečtěte tuto politiku nahlas: dovolte kancelářské síti používat proxy pro schválený cíl. Pokud tyto podmínky patří k sobě, držte je v pravidle pohromadě.

http_access allow office_clients approved_destination

Aby ten řádek požadavek povolil, musí odpovídat oba ACL. Rozdělení mění politiku:

http_access allow office_clients
http_access allow approved_destination

Kancelářští klienti nyní mohou být povoleni bez omezení cíle a požadavky na tento cíl bez kancelářského omezení, pokud je dřívější pravidlo neodmítlo. Dva řádky nejsou čitelnějším zápisem jednoho řádku.

Pořadí je součástí politiky

Squid vyhodnocuje přístupová pravidla postupně. První odpovídající rozhodnutí řídí požadavek. Dřívější allow all zneplatní pečlivé pozdější omezení; dřívější odpovídající odmítnutí zabrání dosažení pozdějšího povolení.

Dokumentace http_access tento postup vysvětluje. Zachovejte záměrné závěrečné odmítnutí místo spoléhání na to, že si čtenář zapamatuje implicitní výchozí chování.

Mnoho definic ACL má jiný vztah OR: jeden pojmenovaný zdrojový ACL může uvádět několik povolených rozsahů. To nedělá z identity zdroje a cíle stejný typ ACL. Definujte je odděleně a pak jména zkombinujte v přístupovém rozhodnutí.

U soukromého výstupu to ovlivňuje, kdo může používat vaši vnější IP. Zvažte čtyři případy: schválený klient na schválený cíl, schválený klient jinam, jiný klient na schválený cíl a jiný klient jinam. Pokud pravidla povolují více případů, než politika zamýšlí, opravte logiku dřív, než rozšíříte posluchač. Syntakticky platná konfigurace může přesto vyjadřovat špatná oprávnění.