Squid External-ACL-Caching: Warum der Helper nicht jedes Mal aufgerufen wird
Squid-External-ACL-Helper sollten auf persistente Prozesse, Cache-Schlüssel für Entscheidungen und eine ausdrückliche Aktualitätsanforderung für Autorisierungen ausgelegt sein.
Ein Helper, der eine Anfrage protokolliert und dann still bleibt, kann normal sein. Squid kann eine Regel anhand eines zwischengespeicherten External-ACL-Ergebnisses auswerten, ohne dem Helper eine weitere Anfrage zu senden.
Definieren Sie zuerst die wiederverwendbare Entscheidung. „Darf dieses Konto den Proxy nutzen?“ braucht andere Eingaben als „Darf dieses Konto dieses Ziel erreichen?“ Das erweiterte External-ACL-Format bildet den Cache-Schlüssel. Wenn der Helper nach Benutzername und Ziel entscheidet, der Schlüssel aber nur den Benutzernamen enthält, kann eine zwischengespeicherte Zustimmung breiter gelten als beabsichtigt. Nehmen Sie jede antwortverändernde Eingabe auf und vermeiden Sie Details, die lediglich gleichwertige Entscheidungen zersplittern.
Wählen Sie als Nächstes die Aktualität. Positives ttl und negative_ttl steuern übereinstimmende und nicht übereinstimmende Ergebnisse; grace kann eine Aktualisierung anstoßen, bevor ein Eintrag abläuft. Legen Sie fest, wie lange die zwischengespeicherte Zustimmung eines widerrufenen Kontos spätere Entscheidungen beeinflussen darf. Keine dieser Einstellungen autorisiert einen bestehenden CONNECT-Tunnel für jedes Byte oder jede innere HTTPS-Anfrage neu. Wenn der Helper ein Verkehrskontingent durchsetzt, können zugelassene Übertragungen nach Änderung des Saldos weiterlaufen.
Der Helper ist ein persistenter Protokollteilnehmer, nicht unbedingt ein neuer Skriptprozess für jede Anfrage. Halten Sie ihn für aufeinanderfolgende Abfragezeilen bereit und senden Sie jede Antwort zügig. Legen Sie Diagnose auf einen anderen Kanal. Bei aktivierter Nebenläufigkeit geben Sie die entsprechend übergebene Kanal-ID zurück.
Definieren Sie schließlich langsame, nicht verfügbare und interne Fehlerausgänge und sorgen Sie dafür, dass die umgebende ACL-Reihenfolge sie erzeugt. Das Design ist vollständig, wenn sowohl die Spezifität als auch das zulässige Alter einer wiederverwendbaren Antwort der Zugriffsanforderung entsprechen.