Squid PROXY-protokoll: usalda saatjat enne HTTP-ligipääsu kontrolle

Hoidke Squidi PROXY-protokolli saatja kontrollid eraldi sihtdomeeni ja kliendi päringu autoriseerimisest.

Kasutage proxy_protocol_access, et usaldada metaandmeid edastavat releed, mitte lubatud veebisaitide valimiseks. Squidis 5–7 jookseb kontroll üks kord pärast TCP seadistamist require-proxy-header kuulajal, enne HTTP-päringu päiste töötlemist:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Asendage näite relee-aadress ja piirake võrgu juurdepääs sellele kuulajale. Selles etapis kontrollib Squid tegelikku TCP partnerit enne esitatud metaandmete vastuvõtmist. Pärast vastuvõtmist kasutab see väidetud kliendi aadressi järgmisteks ACL-kontrollideks ja logimiseks. Relee usaldamine selle väidetava kliendi aadressi põhjal pööraks selle järjekorra ümber.

Jätke http_access hilisemate kliendi allika ja sihtkoha õiguste jaoks. Metaandmete vastuvõtmine ei anna õigust veebisaitidele juurde pääseda ja sihtdomeeni ACL ei suuda vastata varasemale saatja usalduse küsimusele.

Saatja ja vastuvõtja peavad kokku leppima toetatud PROXY-protokolli versioonis. Tavaline HTTP-klient ei saa seda kohustusliku eesliitega kuulajat kasutada tavalise puhverserveri lõpp-punktina. Kui mõlemat vormi on vaja, kasutage meelega eraldi lõpp-punkte, mitte ärge dubleerige sama kuulamisadressi ja porti.

Usaldusväärne relee võib mõjutada aadressipõhist autoriseerimist tema esitatava kliendi identiteedi kaudu. Andke see võimalus ainult ettenähtud vahendajale.

Seotud artiklid