Luba üks Squid-sihtkoht ilma puhverserveri autentimiseta

Hoidke allika- ja sihtkohapiirangud ümber Squidis tehtud tahtliku autentimiserandi.

Jälgimisleht peab toimima ilma puhverserverisse sisselogimiseta. Ilmselge reegel on http_access allow status_site. Enne autentimist paigutatuna võib see anda erandi ka klientidele, keda te ei kavatsenud kunagi teenindada.

Squidi 6 või 7 puhul hoidke erandi tingimused koos. Pärast olemasolevaid halduse, ebaturvaliste portide, CONNECT-i ja kohalike teenuste kaitsmeid võib asjakohane osa välja näha nii:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Võrk ja hostinimi on kohatäited. Autentimine vajab endiselt oma olemasolevat abikonfiguratsiooni. See on juurdepääsupoliitika erandiosa, mitte täielik puhverserveri konfiguratsioon.

Esimene rida lubab valitud klientidel selle sihtkoha ilma sisselogimise ACL-i hindamata. Järgmine lubab neil klientidel mujale alles pärast autentimist. Varajasemad laiad load või hilisemad alternatiivsed teed võivad tulemust muuta, seega lugege kogu järjestatud poliitikat, sealhulgas kaasatud faile.

Ärge liigutage erandit sihtkoha pordi kaitsmete kohale ainult viiba vältimiseks. Autoriseeritud sait soovimatul pordil on ikka teine marsruut. Otsustage ka, kas kvalifitseeruma peaks täpne host või selle alamdomeenid, selle asemel et lisada tarbeult lai sufiks.

Hostinime erand hõlmab sobivat sihtkohta, mitte iga sõltuvust, mida selle leht laadib. Ümbersuunamised ja kolmandate osapoolte varad võivad õiguspäraselt kohata tavalist sisselogimisnõuet.

Tavalise HTTP puhul saab puhverserver vajaduse korral kasutada täpsemat URL-teavet. Tavaline HTTPS CONNECT-päring ei paljasta lehe teed, seega ei saa kogu hosti hõlmava tunnelierandi põhjal tuletada reeglit «ainult üks leht».

Seotud artiklid