Protocol PROXY Squid: ymddiried yn yr anfonwr cyn archwiliadau mynediad HTTP

Defnyddiwch proxy_protocol_access i ymddiried yn y relái sy'n cyflenwi'r metadata, nid i ddewis gwefannau a ganiateir. Yn Squid 5–7, mae'r archwiliad yn rhedeg unwaith ar ôl sefydlu TCP ar wrandawr require-proxy-header, cyn i benawdau cais HTTP gael eu prosesu:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Amnewidiwch gyfeiriad y relái yn yr enghraifft a chyfyngwch fynediad rhwydwaith i'r gwrandawr hwn. Ar y cam hwn mae Squid yn archwilio'r gwir gydymaith TCP cyn derbyn y metadata a gyflenwir. Ar ôl ei dderbyn, mae'n defnyddio'r cyfeiriad cleient a haerir ar gyfer archwiliadau ACL a logio dilynol. Byddai ymddiried mewn relái yn seiliedig ar y cyfeiriad cleient y mae'n ei haeru yn gwrthdroi'r drefn honno.

Cadwch http_access ar gyfer y caniatadau diweddarach ar gyfer ffynhonnell cleient a chyrchfan. Nid yw derbyn metadata yn awdurdodi mynediad i wefannau, ac ni all ACL parth cyrchfan ateb y cwestiwn cynharach am ymddiried yn yr anfonwr.

Rhaid i'r anfonwr a'r derbynnydd gytuno ar fersiwn gefnogol o brotocol PROXY. Ni all cleient HTTP cyffredin ddefnyddio'r gwrandawr hwn â rhagddodiad gorfodol fel pwynt terfyn dirprwy cyffredin. Os oes angen y ddau fath, defnyddiwch bwyntiau terfyn ar wahân yn fwriadol yn lle dyblygu'r un cyfeiriad gwrando a phorth.

Gall relái y gellir ymddiried ynddo ddylanwadu ar awdurdodiad sy'n seiliedig ar gyfeiriad drwy'r hunaniaeth cleient a gyflenwir ganddo. Rhoi'r gallu hwnnw i'r cyfryngwr a fwriedir yn unig.