Squidi myportname’i ja srci ühendamine eraldi ACL-idega

Konfiguratsioon tundub esmapilgul usutav:

acl team_a myportname 3128 src 198.51.100.0/24

Kuid ACL-i definitsioonil on üksainus tüüp. Siin on myportname tüüp; sõna src lisamine ei alusta teist kontrolli. Ülejäänud sõnad kuuluvad esimese tüübi väärtuste loendisse. See rida ei väljenda „see kuulaja ja see kliendivõrk“.

Anna igale tingimusele nimi

Kasuta kuulava soketi jaoks nime ja eraldi lähte-ACL-i. See väljavõte kasutab dokumentatsiooni aadresse, mis tuleb asendada juurutusele sobivate aadressidega:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Paiguta lubamisreegel olemasolevate kaitsete järele, mis puudutavad ohtlikke sihtpordte, piiratud CONNECT-sihtmärke ja haldusjuurdepääsu. Väljavõte näitab kliendi/kuulaja tingimust; see ei asenda neid kaitsemeetmeid.

Ühe http_access rea tingimused ühendatakse operaatoriga AND. Kaks eraldi lubamisrida lubaksid kumbagi tingimust sõltumatult, mis muudaks poliitikat oluliselt. Ühe ACL-i sees olevad mitmed väärtused pakuvad tavaliselt selle üksiku kontrolli jaoks alternatiive.

Vali väljund eraldi

Sobivat kuulajat saab kasutada ka tcp_outgoing_address kaudu, et valida kohalik lähteaadress. See on marsruutimise valik, mitte luba puhverserverit kasutada. Väljuva aadressi reegel ei saa tagasi lükatud päringut läbi http_access lasta.

Kui mitme aadressiga konfiguratsioon lakkab pärast uuendust töötamast, eralda tõendid: parsimisviga viitab konfiguratsiooni süntaksile; juurdepääsu keeld viitab reeglite sobivusele; lubatud päring vale väljundiga viitab väljundi valikule või hilisemale NAT-ile. Kõigi kolme korraga muutmine teeb väikese ACL-vea leidmise palju raskemaks.