Squid PROXY-protokol: Stol på afsenderen, før HTTP-adgangskontrollen kører

Brug proxy_protocol_access til at stole på det relay, der leverer metadata, ikke til at vælge tilladte websteder. I Squid 5–7 kører kontrollen én gang efter TCP-opsætningen på en require-proxy-header-lytter, før HTTP-anmodningsheadere behandles:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Erstat eksemplets relayadresse, og begræns netværksadgangen til denne lytter. På dette trin kontrollerer Squid den faktiske TCP-peer, før de leverede metadata accepteres. Efter accept bruger den den hævdede klientadresse til de efterfølgende ACL-kontroller og til logning. At stole på et relay ud fra den klientadresse, det påstår, ville vende den rækkefølge om.

Behold http_access til de senere tilladelser for klientkilde og destination. Accept af metadata autoriserer ikke adgang til websteder, og en ACL for destinationsdomæner kan ikke besvare det tidligere spørgsmål om afsenderens troværdighed.

Afsender og modtager skal være enige om en understøttet version af PROXY-protokollen. En almindelig HTTP-klient kan ikke bruge denne lytter med obligatorisk præfiks som et almindeligt proxy-endpoint. Hvis begge former er nødvendige, så brug bevidst adskilte endpoints i stedet for at duplikere samme lytteadresse og port.

Et betroet relay kan påvirke adressebaseret autorisation gennem den klientidentitet, det leverer. Giv kun den tilsigtede mellemled den mulighed.