מסנני יעד ב-Tinyproxy, ACL של לקוחות ופורטי CONNECT

השתמשו במסנני היעד של Tinyproxy להגבלת שמות מארח, והבדילו אותם מחוקים השולטים בלקוחות מקור או בפורטי CONNECT.

שורת Allow ב-Tinyproxy עונה למי מותר להשתמש בפרוקסי. היא אינה אומרת שאותם לקוחות יכולים להגיע רק למארח הכתוב שם. סינון יעד הוא הגדרה נפרדת.

עבור פרוקסי שנועד להגיע לשירות אחד בשמו, המסנן יכול לשמש כרשימת היתרים:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

הקובץ מכיל אז את תבניות היעד המותרות לפי תחביר המסנן שבחרתם. שמרו על תבנית צרה של מארח מדויק, ובדקו את FilterType המוגדר לפני שתבחרו עוגני ביטוי רגולרי או תחביר תווים כלליים. תבנית שנכתבה למצב אחד עשויה לומר משהו אחר במצב אחר.

קיימים שלושה בקרות שונים

  • חוקי Allow/Deny של לקוח מגבילים לקוחות מקור.
  • סינון יעד מגביל את המארח או כתובת ה-URL המבוקשים.
  • ConnectPort מגביל פורטי יעד של CONNECT.

המדריך של Tinyproxy מתעד אותם בנפרד. מסנן יעד אינו מוסיף אימות פרוקסי, והתר פורט אינו מגביל בקשות לשם מארח אחד.

עבור HTTPS דרך מנהרה רגילה, עבדו עם מארח היעד. נתיב הבקשה המוצפן אינו זמין כטקסט רגיל הנראה לפרוקסי, ולכן אין להניח שביטוי נתיב שעובד עבור HTTP גלוי בוחן נתיבי דפי HTTPS.

שקלו גם את התלויות של האתר. דף אחד יכול להביא תמונות או לאמת דרך מארחים אחרים. הוסיפו רק את היעדים הנדרשים באמת; הפיכת חוק מארח מדויק לסיומת רחבה כדי לתקן תמונה חסרה אחת עלולה להתיר תעבורה רבה בהרבה. שמרו על הרשימה מובנת מספיק כך שלכל יעד מותר יהיה נימוק.

מאמרים קשורים