Dopusti jednu Squid destinaciju bez proxy autentifikacije

Zadržite ograničenja izvora i odredišta oko namjernog izuzetka autentifikacije u Squidu.

Stranica za nadzor mora raditi bez prijave na proxy. Očito pravilo je http_access allow status_site. Postavljeno prije autentifikacije, ono može dati izuzetak i klijentima koje nikada niste namjeravali posluživati.

Za Squid 6 ili 7 držite uvjete izuzetka zajedno. Nakon postojećih zaštita za upravljanje, nesigurne portove, CONNECT i lokalne usluge, relevantni dio može izgledati ovako:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Mreža i naziv hosta su zamjenske vrijednosti. Autentifikacija i dalje treba svoju postojeću konfiguraciju pomoćnika. Ovo je izuzetni dio pravila pristupa, a ne potpuna proxy konfiguracija.

Prvi redak dopušta odabranim klijentima to odredište bez ocjenjivanja prijavne ACL. Sljedeći dopušta tim klijentima drugdje samo nakon autentifikacije. Ranija široka dopuštenja ili kasnije alternativne staze mogu promijeniti rezultat, zato pročitajte cijelu uređenu politiku, uključujući uključene datoteke.

Ne premještajte izuzetak iznad zaštita odredišnog porta samo da biste izbjegli upit. Ovlašteno web-mjesto na nenamjernom portu i dalje je druga ruta. Također odlučite treba li kvalificirati točan host ili njegove poddomene umjesto dodavanja nepotrebno širokog sufiksa.

Izuzetak za naziv hosta pokriva odgovarajuće odredište, ne svaku ovisnost koju učitava njegova stranica. Preusmjeravanja i resursi trećih strana mogu legitimno naići na uobičajeni zahtjev za prijavu.

Za obični HTTP proxy može koristiti preciznije URL informacije gdje je prikladno. Običan HTTPS CONNECT zahtjev ne otkriva putanju stranice, pa se pravilo „samo jedna stranica“ ne može izvesti iz izuzetka tunela za cijeli host.

Povezani članci