Squid 7 no-tproxy : désactiver l'usurpation de l'adresse source vers un proxy parent

Un écouteur TPROXY de Squid peut recevoir le trafic des clients alors que la connexion à son parent échoue. Conserver l'adresse source sur cette connexion sortante peut être inadapté au chemin réseau du parent.

Dans les versions de Squid qui prennent en charge l'option, ajoutez no-tproxy à la définition cache_peer existante concernée. Par exemple :

cache_peer parent.example.net parent 8118 0 no-query no-tproxy

no-tproxy désactive l'usurpation de l'adresse source du client pour les connexions vers ce pair. Il ne supprime pas la configuration transparente de l'écouteur et ne sélectionne pas le pair à lui seul. Conservez les autres options et règles de sélection du parent du déploiement. Là où ces règles autorisent des destinations publiques via un parent non authentifié, la liste de proxys HTTP propose des adresses candidates ; ne conservez pas les identifiants existants du parent et vérifiez l'autorisation pour chaque cible CONNECT réelle.

Le parent reçoit désormais une connexion normale depuis l'adresse sortante propre à Squid, sous réserve de tout NAT. Sa politique d'accès et son authentification doivent autoriser ce proxy aval. Vérifiez l'adresse source vue par le parent lorsqu'il applique une restriction par IP.

Cette option est documentée pour Squid 7 et les versions prises en charge antérieures ; la référence de configuration la marque comme indisponible dans Squid 8. Gardez la recette liée à la version utilisée.