Protocolo PROXY de Squid: confíe no remitente antes das comprobacións de acceso HTTP

Use proxy_protocol_access para confiar no relé que fornece os metadatos, non para escoller sitios web permitidos. En Squid 5–7, a comprobación execútase unha vez tras o establecemento de TCP nun oínte require-proxy-header, antes de procesar as cabeceiras da solicitude HTTP:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Substitúa o enderezo de relé do exemplo e restrinxa o acceso de rede a este oínte. Nesta fase, Squid comproba o par TCP real antes de aceptar os metadatos fornecidos. Tras a aceptación, usa o enderezo de cliente afirmado para as comprobacións ACL e o rexistro posteriores. Confiar nun relé baseándose no enderezo de cliente que afirma invertería esa orde.

Reserve http_access para os permisos posteriores de orixe de cliente e de destino. Aceptar metadatos non autoriza o acceso a sitios web, e unha ACL de dominio de destino non pode responder á pregunta anterior sobre a confianza no remitente.

O remitente e o destinatario deben acordar unha versión compatible do protocolo PROXY. Un cliente HTTP simple non pode usar este oínte con prefixo obrigatorio como punto final de proxy ordinario. Se se necesitan ambas as formas, use puntos finais deliberadamente separados en lugar de duplicar o mesmo enderezo de escoita e porto.

Un relé de confianza pode influír na autorización baseada en enderezos mediante a identidade de cliente que fornece. Conceda esa capacidade só ao intermediario previsto.