Squid-6-Zugriffsregeln für eine Client-IP

Diese Konfiguration ist für Squid 6.13 einschließlich des Pakets von Debian 13 gedacht. Prüfe die installierte Version mit squid -v: Squids Direktivenreferenz kennzeichnet http_access in Version 8 als nicht verfügbar.

Zuerst die Adressen wählen

Der Listener braucht eine dem Server zugewiesene Adresse. Die Clientregel benötigt die von Squid beobachtete Quelladresse. Das kann die öffentliche Ausgangsadresse eines NAT-Netzwerks statt der privaten Adresse eines Laptops sein.

Ersetze die folgenden Dokumentationsadressen. Die Clientbeschränkung umfasst eine Adresse, ausgedrückt als /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Ersetze in der Paketkonfiguration den entsprechenden Listener, die ACL-Definitionen und Zugriffsregeln, behalte aber Protokollierungs- und Dateisystemeinstellungen bei. Werden diese Regeln unter einer früheren Clientfreigabe angehängt, kann die Beschränkung umgangen werden. Wiederholte Definitionen einer Listen-ACL können außerdem Werte hinzufügen.

Wie Anfragen die Regeln durchlaufen

Die ersten Ablehnungen sperren unerwünschte Zielports, Verwaltungsanfragen sowie lokale und link-lokale Ziele. Der bekannte Client wird nach diesen Prüfungen zugelassen; alle anderen Anfragen erreichen die abschließende Ablehnung. Die Zielschutzregeln bleiben nötig, weil eine Quellfreigabeliste allein keine Ziele einschränkt.

Beschränke die Host- oder Netzwerkfirewall auf die vorgesehene Quelle, bevor du den Listener zugänglich machst. Die Bindung bestimmt, wo Squid Verbindungen annimmt; die Zugriffsregeln bestimmen, welche Anfragen es erlaubt.

sudo squid -k parse -f /etc/squid/squid.conf

Behebe Parserfehler, bevor du den verwalteten Dienst neu lädst. Teste vom erlaubten Client und einer zweiten kontrollierten Quelle, die abgewiesen werden soll. Prüfe, dass das Ziel nur die autorisierte Anfrage erhält: Eine TCP-Verbindung allein belegt keine Weiterleitungsberechtigung.