Autoriser une destination Squid sans authentification du proxy

Une page de supervision doit fonctionner sans connexion au proxy. La règle évidente est http_access allow status_site. Placée avant l'authentification, elle peut aussi accorder l'exception à des clients que vous n'aviez jamais l'intention de servir.

Pour Squid 6 ou 7, gardez les conditions de l'exception ensemble. Après les protections existantes pour l'administration, les ports non sûrs, CONNECT et les services locaux, la partie concernée peut ressembler à ceci :

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Le réseau et le nom d'hôte sont des espaces réservés. L'authentification a toujours besoin de sa configuration d'assistant existante. Il s'agit de la partie exception d'une politique d'accès, pas d'une configuration complète du proxy.

La première ligne autorise les clients sélectionnés vers cette destination sans évaluer l'ACL de connexion. La suivante autorise ces clients ailleurs seulement après authentification. Des autorisations larges antérieures ou des chemins alternatifs ultérieurs peuvent changer le résultat, alors lisez la politique ordonnée complète, y compris les fichiers inclus.

Ne déplacez pas l'exception au-dessus des protections du port de destination uniquement pour éviter une invite. Un site autorisé sur un port non prévu reste une autre route. Décidez aussi si l'hôte exact ou ses sous-domaines doivent correspondre plutôt que d'ajouter un suffixe inutilement large.

Une exception de nom d'hôte couvre la destination correspondante, pas chaque dépendance chargée par sa page. Les redirections et les ressources tierces peuvent légitimement rencontrer l'exigence normale de connexion.

Pour HTTP simple, un proxy peut utiliser des informations d'URL plus fines lorsque c'est approprié. Une requête HTTPS CONNECT ordinaire n'expose pas le chemin de la page, donc une règle « une seule page » ne peut pas être déduite d'une exception de tunnel pour tout l'hôte.