Unha regra allow de Squid significa AND; dúas poden significar OR

Le esta política en voz alta: permite que a rede da oficina use o proxy para o destino aprobado. Se esas condicións van xuntas, mantenas xuntas na regra.

http_access allow office_clients approved_destination

Ambas as ACL deben coincidir para que esa liña permita a petición. Dividila cambia a política:

http_access allow office_clients
http_access allow approved_destination

Agora os clientes da oficina poden permitirse sen a restrición de destino, e as peticións a ese destino sen a restrición de oficina, salvo que unha regra anterior as denegase. Dúas liñas non son unha forma máis lexible de escribir unha.

A orde forma parte da política

Squid avalía as regras de acceso en secuencia. A primeira decisión coincidente controla a petición. Un allow all anterior anula unha restrición posterior coidadosa; unha denegación coincidente anterior impide chegar a unha permitida posterior.

A documentación de http_access explica esta secuencia. Mantén unha denegación final deliberada en vez de confiar en que o lector recorde o comportamento implícito por defecto.

Moitas definicións de ACL teñen unha relación OR distinta: unha ACL de orixe con nome pode listar varios rangos permitidos. Iso non converte a identidade de orixe e destino no mesmo tipo de ACL. Defíneas por separado e despois combina os nomes nunha decisión de acceso.

Para unha saída privada, isto afecta a quen pode usar o teu IP exterior. Considera catro casos: cliente aprobado cara a destino aprobado, cliente aprobado noutro lugar, outro cliente cara ao destino aprobado e outro cliente noutro lugar. Se as regras permiten máis casos dos que a política pretende, corrixe a lóxica antes de ampliar o oínte. Unha configuración sintacticamente válida aínda pode expresar permisos erróneos.