Filtros de destino de Tinyproxy, ACL de clientes y puertos CONNECT

Una línea Allow de Tinyproxy responde a quién puede usar el proxy. No significa que esos clientes solo puedan llegar al host escrito allí. El filtrado de destino es un ajuste aparte.

Para un proxy destinado a alcanzar un único servicio con nombre, el filtro puede actuar como lista de permitidos:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Después, el archivo contiene los patrones de destino permitidos por la sintaxis de filtro que haya elegido. Mantenga un patrón estricto de host exacto y compruebe el FilterType configurado antes de elegir anclas de expresiones regulares o sintaxis de comodines. Un patrón escrito para un modo puede significar otra cosa en otro.

Hay tres controles diferentes

• Las reglas Allow/Deny de cliente restringen los clientes de origen.
• El filtrado de destino restringe el host o la URL solicitados.
• ConnectPort restringe los puertos de destino CONNECT.

El manual de Tinyproxy documenta estos controles por separado. Un filtro de destino no añade autenticación de proxy, y permitir un puerto no confina las solicitudes a un solo nombre de host.

Para HTTPS a través de un túnel normal, trabaje con el host de destino. La ruta cifrada de la solicitud no está disponible como texto normal visible para el proxy, así que no debe suponerse que una expresión de ruta que funciona para HTTP en claro inspeccione rutas de páginas HTTPS.

Tenga también en cuenta las dependencias del sitio. Una página puede cargar imágenes o autenticarse a través de otros hosts. Añada solo los destinos realmente necesarios; convertir una regla de host exacto en un sufijo amplio para arreglar una imagen que falta puede permitir mucho más tráfico. Mantenga la lista lo bastante comprensible para que cada destino permitido tenga un motivo.