Squidin PROXY-protokolla: luota lähettäjään ennen HTTP-käyttöoikeustarkistuksia

Pidä Squidin PROXY-protokollan lähettäjätarkistukset erillään kohdeverkkotunnuksen ja asiakaspyynnön valtuutuksesta.

Käytä proxy_protocol_access metatiedot toimittavan välittäjän luottamiseen, älä sallittujen verkkosivustojen valitsemiseen. Squidissa 5–7 tarkistus ajetaan kerran TCP-yhteyden muodostamisen jälkeen require-proxy-header-kuuntelijassa, ennen HTTP-pyynnön otsakkeiden käsittelyä:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Korvaa esimerkin välittäjäosoite ja rajoita verkkopääsy tähän kuuntelijaan. Tässä vaiheessa Squid tarkistaa todellisen TCP-vastapuolen ennen toimitettujen metatietojen hyväksymistä. Hyväksymisen jälkeen se käyttää väitettyä asiakasosoitetta myöhempiin ACL-tarkistuksiin ja kirjaukseen. Välittäjään luottaminen sen väittämän asiakasosoitteen perusteella kääntäisi tämän järjestyksen päinvastaiseksi.

Säilytä http_access myöhemmille asiakaslähteen ja kohteen käyttöoikeuksille. Metatietojen hyväksyminen ei valtuuta verkkosivustojen käyttöä, eikä kohdeverkkotunnuksen ACL voi vastata aiempaan lähettäjän luottamusta koskevaan kysymykseen.

Lähettäjän ja vastaanottajan on sovittava tuetusta PROXY-protokollan versiosta. Tavallinen HTTP-asiakasohjelma ei voi käyttää tätä pakollisen etuliitteen kuuntelijaa tavallisena välityspalvelimen päätepisteenä. Jos molempia muotoja tarvitaan, käytä tarkoituksella erillisiä päätepisteitä sen sijaan, että kopioisit saman kuunteluosoitteen ja portin.

Luotettu välittäjä voi vaikuttaa osoiteperusteiseen valtuutukseen toimittamansa asiakasidentiteetin kautta. Anna tämä kyky vain aiottuun välittäjään.

Aiheeseen liittyvät artikkelit