Κανόνες πρόσβασης Squid 6 για μία IP πελάτη

Περιορίστε ένα προωθητικό proxy Squid 6.13 σε γνωστό πελάτη, κρατήστε τις προστασίες προορισμού και ελέγξτε τη σειρά κανόνων πριν την εγκατάσταση.

Αυτή η ρύθμιση αφορά το Squid 6.13, μαζί με το πακέτο του Debian 13. Επιβεβαιώστε την εγκατεστημένη έκδοση με squid -v: η αναφορά οδηγιών του Squid σημειώνει το http_access ως μη διαθέσιμο στην έκδοση 8.

Επιλέξτε πρώτα τις διευθύνσεις

Η υπηρεσία ακρόασης χρειάζεται διεύθυνση εκχωρημένη στον διακομιστή. Ο κανόνας πελάτη χρειάζεται τη διεύθυνση προέλευσης που βλέπει το Squid, η οποία μπορεί να είναι η δημόσια έξοδος δικτύου NAT και όχι η ιδιωτική διεύθυνση φορητού υπολογιστή.

Αντικαταστήστε τις διευθύνσεις τεκμηρίωσης παρακάτω. Ο περιορισμός πελάτη είναι μία διεύθυνση, εκφρασμένη ως /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Αντικαταστήστε την αντίστοιχη υπηρεσία ακρόασης, ορισμούς ACL και κανόνες πρόσβασης στη ρύθμιση του πακέτου, κρατώντας τις ρυθμίσεις καταγραφής και συστήματος αρχείων. Η προσθήκη αυτών των κανόνων κάτω από προγενέστερη άδεια πελάτη μπορεί να παρακάμψει τον περιορισμό. Επαναλαμβανόμενοι ορισμοί μιας ACL λίστας μπορούν επίσης να προσθέσουν τιμές.

Πώς περνούν τα αιτήματα από τους κανόνες

Οι αρχικές αρνήσεις απορρίπτουν ανεπιθύμητες θύρες προορισμού, αιτήματα διαχείρισης και τοπικούς ή link-local προορισμούς. Ο γνωστός πελάτης επιτρέπεται μετά τους ελέγχους· όλα τα άλλα αιτήματα φτάνουν στην τελική άρνηση. Οι προστασίες προορισμού παραμένουν απαραίτητες, επειδή μια λίστα επιτρεπόμενων πηγών μόνη της δεν περιορίζει προορισμούς.

Περιορίστε το τείχος προστασίας του υπολογιστή ή δικτύου στην προβλεπόμενη πηγή πριν εκθέσετε την υπηρεσία. Η δέσμευση διεύθυνσης επιλέγει πού δέχεται συνδέσεις το Squid· οι κανόνες πρόσβασης ορίζουν ποια αιτήματα επιτρέπει.

sudo squid -k parse -f /etc/squid/squid.conf

Διορθώστε σφάλματα ανάλυσης πριν επαναφορτώσετε τη διαχειριζόμενη υπηρεσία. Δοκιμάστε από τον επιτρεπόμενο πελάτη και μια δεύτερη ελεγχόμενη πηγή που πρέπει να απορριφθεί. Επιβεβαιώστε ότι ο στόχος λαμβάνει μόνο το εξουσιοδοτημένο αίτημα: μια σύνδεση TCP μόνη της δεν αποδεικνύει άδεια προώθησης.

Σχετικά άρθρα