Squid 6:n pääsysäännöt yhdelle asiakas-IP:lle

Tämä määritys on tarkoitettu Squid 6.13:lle, myös Debian 13:n paketille. Varmista asennettu versio komennolla squid -v: Squidin direktiiviviite merkitsee http_access-direktiivin puuttuvaksi versiosta 8.

Valitse ensin osoitteet

Kuuntelija tarvitsee palvelimelle määritetyn osoitteen. Asiakassääntö tarvitsee Squidin näkemän lähdeosoitteen, joka voi olla NAT-verkon julkinen ulostulo-osoite eikä kannettavan yksityinen osoite.

Korvaa alla olevat dokumentaatio-osoitteet. Asiakasrajaus on yksi osoite muodossa /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Korvaa paketin määrityksestä vastaava kuuntelija, ACL-määritykset ja pääsysäännöt, mutta säilytä lokitus- ja tiedostojärjestelmäasetukset. Näiden sääntöjen lisääminen aiemman asiakkaan sallivan säännön alle voi ohittaa rajoituksen. Lista-ACL:n toistuvat määrittelyt voivat myös lisätä arvoja.

Miten pyynnöt kulkevat sääntöjen läpi

Alun kiellot torjuvat ei-toivotut kohdeportit, hallintapyynnöt sekä paikalliset ja link-local-kohteet. Tunnettu asiakas sallitaan näiden tarkistusten jälkeen; kaikki muut pyynnöt päätyvät viimeiseen kieltoon. Kohdesuojaukset ovat yhä tarpeen, koska pelkkä lähteiden sallittujen lista ei rajoita kohteita.

Rajaa isännän tai verkon palomuuri tarkoitettuun lähteeseen ennen kuuntelijan avaamista. Sidonta valitsee, missä Squid hyväksyy yhteyksiä; pääsysäännöt ratkaisevat, mitkä pyynnöt se sallii.

sudo squid -k parse -f /etc/squid/squid.conf

Korjaa jäsennysvirheet ennen hallitun palvelun uudelleenlatausta. Testaa sallitusta asiakkaasta ja toisesta hallitusta lähteestä, joka pitäisi estää. Varmista, että kohde saa vain valtuutetun pyynnön: pelkkä TCP-yhteys ei osoita välitysoikeutta.