Sowohl Squid-Anmeldung als auch die richtige Client-IP verlangen

Beschränken Sie einen benannten Squid-Proxy-Benutzer auf eine genehmigte Quelladresse, indem Sie beide ACL-Bedingungen verlangen.

Ein korrektes Kennwort ist nur die Hälfte dieser Richtlinie: Das Konto sollte auch von einer genehmigten Client-Adresse aus funktionieren. In Squid ist es der Unterschied zwischen dieser Anforderung und zwei getrennten Zugängen, beide Prüfungen auf dieselbe Zugriffsregel zu setzen.

Vorausgesetzt, die Authentifizierung ist bereits eingerichtet, etwa eine Squid 6.13 NCSA-Einrichtung, lautet die Kernrichtlinie:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Verwenden Sie die Quelle, die Squid tatsächlich empfängt; das Beispiel ist eine Dokumentationsadresse. Behalten Sie frühere Schutzmaßnahmen für unsichere Zielports, lokale Dienste und CONNECT-Verkehr bei. Dieses Fragment zeigt die kombinierte Bedingung und nicht eine vollständige Listener-Konfiguration.

Prüfen Sie die Regeln darüber

Eine frühere breite Erlaubnis kann die Anfrage annehmen, bevor sie die neue Bedingung erreicht. Die http_access-Referenz beschreibt die geordnete Übereinstimmung. Lesen Sie die vollständige Reihenfolge, einschließlich eingebundener Dateien.

Eine Erlaubnis für den Benutzernamen und eine andere für die Quelle verlangen nicht beides. Jede Zeile kann unabhängig erfolgreich sein. Das ist eine andere Richtlinie.

Das proxy_auth-ACL hängt von einem Authentifizierungshelfer ab. Es zu definieren ist nicht der Weg, den Benutzer zu erstellen oder das Kennwort zu prüfen. Dieses Beispiel gilt für einen expliziten Proxy, dessen Clients auf Proxy-Authentifizierungsaufforderungen antworten können.

Auch die Quellidentität hat Grenzen. Personen hinter einem NAT können eine Adresse teilen, und ein beweglicher Laptop kann die Adresse wechseln. Die zusätzliche Bedingung verengt den nutzbaren Netzwerkstandort des Kontos; sie identifiziert keinen physischen Computer zuverlässig. Stellen Sie sicher, dass diese Einschränkung zu dem Grund passt, aus dem Sie die Bedingung ursprünglich hinzugefügt haben.

Ähnliche Artikel