Cyfuno myportname a src Squid gydag ACLau ar wahân

Mae’r ffurfweddiad yn edrych yn gredadwy ar yr olwg gyntaf:

acl team_a myportname 3128 src 198.51.100.0/24

Ond un math yn unig sydd gan ddiffiniad ACL. Yma myportname yw’r math; nid yw ychwanegu’r gair src yn dechrau ail brawf. Mae’r geiriau sy’n weddill yn perthyn i restr werthoedd y math cyntaf. Nid yw’r llinell honno’n mynegi “y gwrandawr hwn a’r rhwydwaith cleientiaid hwn”.

Rhowch enw i bob amod

Defnyddiwch enw ar gyfer y soced gwrando ac ACL ffynhonnell ar wahân. Mae’r dyfyniad hwn yn defnyddio cyfeiriadau dogfennaeth, y mae’n rhaid eu disodli â chyfeiriadau sy’n addas i’r defnydd:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Rhowch y rheol caniatáu ar ôl y diogelwch presennol ar gyfer pyrth cyrchfan anniogel, targedau CONNECT cyfyngedig a mynediad rheoli. Mae’r dyfyniad yn darlunio’r amod cleient/gwrandawr; nid yw’n disodli’r diogelwch hynny.

Mae amodau ar un llinell http_access yn cael eu cyfuno ag AND. Byddai dwy linell caniatáu ar wahân yn derbyn y naill amod neu’r llall yn annibynnol, a fyddai’n newid y polisi’n sylweddol. Mae sawl gwerth o fewn un ACL fel arfer yn cynnig dewisiadau ar gyfer y prawf unigol hwnnw.

Dewiswch yr allanfa ar wahân

Gellir defnyddio gwrandawr cyfatebol hefyd trwy tcp_outgoing_address i ddewis cyfeiriad ffynhonnell lleol. Dewis llwybro yw hynny, nid caniatâd i ddefnyddio’r procsi. Ni all rheol cyfeiriad allanol wneud i gais a wrthodwyd basio drwy http_access.

Os yw ffurfweddiad aml-gyfeiriad yn rhoi’r gorau i weithio ar ôl diweddariad, gwahanwch y dystiolaeth: mae gwall dosrannu’n dynodi cystrawen y ffurfweddiad; mae gwrthodiad mynediad yn dynodi cydweddu rheolau; mae cais a ganiatawyd gyda’r allanfa anghywir yn dynodi dewis allanol neu NAT diweddarach. Mae newid y tri ar unwaith yn gwneud camgymeriad ACL bach yn llawer anoddach i’w ganfod.