שילוב myportname ו-src ב-Squid עם ACL נפרדים

התצורה נראית סבירה במבט ראשון:

acl team_a myportname 3128 src 198.51.100.0/24

אבל להגדרת ACL יש סוג אחד. כאן myportname הוא הסוג; הוספת המילה src אינה מתחילה בדיקה שנייה. שאר המילים שייכות לרשימת הערכים של הסוג הראשון. השורה הזו אינה מבטאת „המאזין הזה ורשת הלקוחות הזו”.

תנו שם לכל תנאי

השתמשו בשם עבור סוקט ההאזנה וב-ACL מקור נפרד. הקטע הזה משתמש בכתובות תיעודיות, שיש להחליף בכתובות המתאימות לפריסה:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

מקמו את כלל ההרשאה אחרי ההגנות הקיימות לפורטי יעד לא בטוחים, ליעדי CONNECT מוגבלים ולגישת ניהול. הקטע מדגים את תנאי הלקוח/מאזין; הוא אינו מחליף את ההגנות האלה.

תנאים באותה שורת http_access משולבים עם AND. שתי שורות הרשאה נפרדות היו מתירות כל תנאי באופן עצמאי, מה שהיה משנה את המדיניות במידה ניכרת. כמה ערכים בתוך ACL אחד נותנים בדרך כלל חלופות לאותה בדיקה בודדת.

בחרו את היציאה בנפרד

אפשר להשתמש במאזין תואם גם דרך tcp_outgoing_address כדי לבחור כתובת מקור מקומית. זו בחירת ניתוב, לא הרשאה להשתמש בפרוקסי. כלל כתובת יציאה אינו יכול לגרום לבקשה שנדחתה לעבור דרך http_access.

אם תצורה עם כמה כתובות מפסיקה לעבוד אחרי שדרוג, הפרידו את הראיות: שגיאת ניתוח מצביעה על התחביר של התצורה; דחיית גישה מצביעה על התאמת כללים; בקשה מורשית עם יציאה שגויה מצביעה על בחירת יציאה או NAT מאוחר יותר. שינוי שלושת הדברים בבת אחת הופך טעות ACL קטנה להרבה יותר קשה לאיתור.