Squid-en PROXY protokoloa: fidatu bidaltzaileaz HTTP sarbide-egiaztapenak baino lehen

Mantendu Squid-en PROXY protokoloaren bidaltzailearen egiaztapenak helmuga-domeinuaren eta bezeroaren eskaeraren baimenaz bereizita.

Erabili proxy_protocol_access metadatuak ematen dituen erreleari fidatzeko, ez baimendutako webguneak aukeratzeko. Squid 5–7 bertsioetan, egiaztapena TCP ezarri ondoren behin exekutatzen da require-proxy-header entzule batean, HTTP eskaeraren goiburuak prozesatu aurretik:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Ordeztu adibideko errele helbidea eta mugatu sareko sarbidea entzule honetara. Etapa honetan Squid-ek benetako TCP bikotekidea egiaztatzen du emandako metadatuak onartu aurretik. Onartu ondoren, aldarrikatutako bezero-helbidea erabiltzen du ondorengo ACL egiaztapenetarako eta erregistrorako. Errele batean fidatzea hark aldarrikatzen duen bezero-helbidean oinarrituta ordena hori alderantzikatuko luke.

Gorde http_access geroagoko bezero-jatorriaren eta helmugaren baimenetarako. Metadatuak onartzeak ez du webgunerako sarbidea baimentzen, eta helmuga-domeinuaren ACL batek ezin dio erantzun aurretiazko bidaltzailearen konfiantza galderari.

Bidaltzaileak eta hartzaileak PROXY protokoloaren bertsio onartu batean ados egon behar dute. HTTP bezero arrunt batek ezin du derrigorrezko aurrizkia duen entzule hau proxy amaierako puntu arrunt gisa erabili. Bi formak behar badira, erabili nahita bereizitako amaierako puntuak entzuketa-helbide eta portu bera bikoiztu beharrean.

Errele fidagarri batek helbideetan oinarritutako baimenean eragin dezake ematen duen bezero-nortasunaren bidez. Eman gaitasun hori aurreikusitako bitartekariari soilik.

Erlazionatutako artikuluak