Squid 6 ligipääsureeglid ühele kliendi IP-le

See seadistus on Squid 6.13 jaoks, kaasa arvatud Debian 13 pakett. Kontrolli paigaldatud versiooni squid -v abil: Squidi direktiivide viide märgib http_access versioonis 8 puuduvaks.

Vali kõigepealt aadressid

Kuulaja vajab serverile määratud aadressi. Kliendireegel vajab Squidi nähtavat lähteaadressi, mis võib olla NAT-võrgu avalik väljundaadress, mitte sülearvuti privaatne aadress.

Asenda allolevad dokumentatsiooniaadressid. Kliendipiirang on üks aadress, väljendatud kujul /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Asenda paketi seadistuses vastav kuulaja, ACL-määratlused ja ligipääsureeglid, kuid jäta logimise ja failisüsteemi sätted alles. Nende reeglite lisamine varasema kliendiloa alla võib piirangust mööda minna. Loendi-ACL-i korduvad määratlused võivad ka väärtusi lisada.

Kuidas päringud reegleid läbivad

Esialgsed keelud tõkestavad soovimatud sihtpordid, halduspäringud ning kohalikud või link-local sihtkohad. Tuntud klient lubatakse pärast neid kontrolle; kõik teised päringud jõuavad lõpliku keeluni. Sihtkohtade kaitse on endiselt vajalik, sest lubatud lähte-IP-de loend üksi ei piira sihtkohti.

Enne kuulaja avamist piira hosti või võrgu tulemüür kavandatud lähtega. Sidumine valib, kus Squid ühendusi vastu võtab; ligipääsureeglid määravad, milliseid päringuid ta lubab.

sudo squid -k parse -f /etc/squid/squid.conf

Paranda parsivead enne hallatava teenuse uuesti laadimist. Testi lubatud kliendist ja teisest kontrollitavast lähtepunktist, mis tuleks keelata. Veendu, et sihtmärk saab ainult lubatud päringu: pelk TCP-ühendus ei tõesta edastamisõigust.