Vyžadujte přihlášení Squid i správnou IP adresu klienta

Omezte pojmenovaného uživatele Squid na schválenou zdrojovou adresu tím, že vyžadujete obě podmínky ACL.

Správné heslo je jen polovina této politiky: účet by měl fungovat i z jedné schválené adresy klienta. V Squidu je umístění obou kontrol do stejného přístupového pravidla rozdílem mezi tímto požadavkem a dvěma samostatnými cestami dovnitř.

Za předpokladu, že autentizace je již nastavena, například NCSA nastavení Squid 6.13, je základní politika tato:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Použijte zdroj, který Squid skutečně přijímá; vzorek je dokumentační adresa. Zachovejte dřívější ochrany pro nebezpečné cílové porty, místní služby a provoz CONNECT. Tento fragment ukazuje kombinovanou podmínku, nikoli úplnou konfiguraci naslouchacího rozhraní.

Zkontrolujte pravidla nad ním

Dřívější široké povolení může požadavek přijmout dříve, než se dostane k nové podmínce. Reference http_access popisuje uspořádané porovnávání. Přečtěte si celou sekvenci včetně vložených souborů.

Jedno povolení pro uživatelské jméno a druhé pro zdroj nevyžadují obojí. Kterýkoli řádek může uspět samostatně. To je jiná politika.

ACL proxy_auth závisí na pomocníku autentizace. Jeho definování není způsob, jak vytvořit uživatele nebo ověřit heslo. Tento příklad je pro explicitní proxy, jehož klienti mohou reagovat na výzvy k autentizaci proxy.

Identita zdroje má také limity. Lidé za jedním NAT mohou sdílet adresu a pohybující se notebook může adresy měnit. Dodatečná podmínka zužuje použitelnou síťovou polohu účtu; spolehlivě neidentifikuje fyzický počítač. Ujistěte se, že toto omezení odpovídá důvodu, proč jste podmínku původně přidali.

Související články