Permitir un destino de Squid sin autenticación del proxy

Una página de monitorización debe funcionar sin iniciar sesión en el proxy. La regla obvia es http_access allow status_site. Colocada antes de la autenticación, también puede conceder la excepción a clientes que nunca pretendía atender.

Para Squid 6 o 7, mantenga juntas las condiciones de la excepción. Tras las protecciones existentes de gestión, puertos inseguros, CONNECT y servicios locales, la parte relevante puede verse así:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

La red y el nombre de host son marcadores de posición. La autenticación sigue necesitando su configuración de asistente existente. Esta es la parte de excepción de una política de acceso, no una configuración completa del proxy.

La primera línea permite a los clientes seleccionados ese destino sin evaluar la ACL de inicio de sesión. La siguiente permite a esos clientes otros lugares solo tras la autenticación. Las autorizaciones amplias anteriores o las rutas alternativas posteriores pueden cambiar el resultado, así que lea la política ordenada completa, incluidos los archivos incluidos.

No mueva la excepción por encima de las protecciones del puerto de destino solo para evitar un aviso. Un sitio autorizado en un puerto no previsto sigue siendo una ruta diferente. Decida también si debe cumplir el host exacto o sus subdominios en lugar de añadir un sufijo innecesariamente amplio.

Una excepción de nombre de host cubre el destino coincidente, no cada dependencia que carga su página. Las redirecciones y los recursos de terceros pueden encontrarse legítimamente con el requisito normal de inicio de sesión.

Para HTTP simple, un proxy puede usar información de URL más precisa cuando corresponda. Una solicitud HTTPS CONNECT ordinaria no expone la ruta de la página, por lo que no puede inferirse una regla de «solo una página» a partir de una excepción de túnel para todo el host.