Pravidla přístupu Squid 6 pro jednu IP klienta

Tato konfigurace je určena pro Squid 6.13 včetně balíčku Debianu 13. Instalovanou verzi ověřte pomocí squid -v: reference direktiv Squid uvádí http_access jako nedostupné ve verzi 8.

Nejprve vyberte adresy

Naslouchající služba potřebuje adresu přiřazenou serveru. Pravidlo klienta potřebuje zdrojovou adresu, kterou vidí Squid; může jít o veřejnou výstupní adresu sítě NAT, nikoli soukromou adresu notebooku.

Nahraďte následující dokumentační adresy. Omezení klienta je jedna adresa vyjádřená jako /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

V konfiguraci balíčku nahraďte odpovídající naslouchání, definice ACL a přístupová pravidla, ale zachovejte nastavení protokolování a souborového systému. Přidání pravidel pod dřívější povolení klienta může omezení obejít. Opakované definice seznamové ACL mohou také přidávat hodnoty.

Jak požadavky procházejí pravidly

Úvodní zákazy odmítají nežádoucí cílové porty, správní požadavky a místní či link-local cíle. Známý klient je povolen až po těchto kontrolách; ostatní požadavky dojdou ke konečnému zákazu. Ochrana cílů zůstává nutná, protože samotný seznam povolených zdrojů cíle neomezuje.

Před zpřístupněním služby omezte firewall hostitele nebo sítě na zamýšlený zdroj. Vazba určuje, kde Squid přijímá spojení; přístupová pravidla určují, které požadavky povolí.

sudo squid -k parse -f /etc/squid/squid.conf

Před znovunačtením spravované služby opravte chyby parsování. Testujte z povoleného klienta a druhého kontrolovaného zdroje, který má být odmítnut. Ověřte, že cíl dostane jen autorizovaný požadavek: samotné TCP spojení nedokazuje povolení předávání.