Tillad én Squid-destination uden proxy-godkendelse

En overvågningsside skal fungere uden proxy-login. Den oplagte regel er http_access allow status_site. Placeret før godkendelse kan den også give undtagelsen til klienter, du aldrig havde til hensigt at betjene.

For Squid 6 eller 7 skal du holde undtagelsens betingelser sammen. Efter de eksisterende sikkerhedsforanstaltninger for administration, usikre porte, CONNECT og lokale tjenester kan den relevante del se sådan ud:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Netværket og værtsnavnet er pladsholdere. Godkendelse kræver stadig sin eksisterende hjælperkonfiguration. Dette er undtagelsesdelen af en adgangspolitik, ikke en komplet proxy-konfiguration.

Den første linje tillader de valgte klienter denne destination uden at evaluere login-ACL'en. Den næste tillader disse klienter andre steder kun efter godkendelse. Tidligere brede tilladelser eller senere alternative stier kan ændre resultatet, så læs hele den ordnede politik, inklusive inkluderede filer.

Flyt ikke undtagelsen over beskyttelserne for destinationsporten bare for at undgå en prompt. Et autoriseret websted på en utilsigtet port er stadig en anden rute. Beslut også, om den nøjagtige vært eller dens underdomæner skal kvalificere i stedet for at tilføje et unødigt bredt suffiks.

En værtsnavneundtagelse dækker den matchende destination, ikke enhver afhængighed, som dens side indlæser. Omdirigeringer og tredjepartsaktiver kan med rette støde på det normale login-krav.

For almindelig HTTP kan en proxy bruge finere URL-oplysninger, hvor det er relevant. En almindelig HTTPS CONNECT-anmodning afslører ikke sidens sti, så en regel om »kun én side« kan ikke udledes af en tunnelundtagelse for hele værten.