Squid 6-adgangsregler for én klient-IP

Begræns en Squid 6.13-forwardproxy til en kendt klient, behold destinationsværn og kontrollér regelrækkefølgen før udrulning.

Denne konfiguration er til Squid 6.13, herunder Debian 13s pakke. Bekræft den installerede version med squid -v: Squids direktivreference markerer http_access som utilgængelig i version 8.

Vælg adresserne først

Lytteren skal bruge en adresse tildelt serveren. Klientreglen skal bruge den kildeadresse, Squid ser; det kan være et NAT-netværks offentlige udgangsadresse frem for en bærbar computers private adresse.

Erstat dokumentationsadresserne nedenfor. Klientbegrænsningen er én adresse udtrykt som /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Erstat den relevante lytter, ACL-definitioner og adgangsregler i pakkens konfiguration, men behold lognings- og filsystemindstillingerne. Tilføjer du reglerne under en tidligere klienttilladelse, kan begrænsningen omgås. Gentagne definitioner af en liste-ACL kan også tilføje værdier.

Sådan passerer forespørgsler reglerne

De første afvisninger blokerer uønskede destinationsporte, administrationsforespørgsler og lokale eller link-lokale destinationer. Den kendte klient tillades efter disse kontroller; alle andre forespørgsler når den sidste afvisning. Destinationsværn er stadig nødvendige, fordi en kildetilladelsesliste alene ikke begrænser destinationer.

Begræns værts- eller netværksfirewallen til den tilsigtede kilde, før lytteren eksponeres. Binding vælger, hvor Squid accepterer forbindelser; adgangsregler bestemmer, hvilke forespørgsler den tillader.

sudo squid -k parse -f /etc/squid/squid.conf

Ret parserfejl, før den administrerede tjeneste genindlæses. Test fra den tilladte klient og en anden kontrolleret kilde, som skal afvises. Bekræft, at målet kun modtager den godkendte forespørgsel: en TCP-forbindelse alene beviser ikke tilladelse til videresendelse.

Relaterede artikler