Squid 6 pravila pristupa za jednu IP adresu klijenta

Ograničite Squid 6.13 forward proxy na poznatog klijenta, sačuvajte zaštitu odredišta i provjerite redoslijed pravila prije primjene.

Ova konfiguracija namijenjena je za Squid 6.13, uključujući paket Debiana 13. Provjerite instaliranu verziju pomoću squid -v: Squidova referenca direktiva označava http_access kao nedostupan u verziji 8.

Prvo odaberite adrese

Slušatelju treba adresa dodijeljena poslužitelju. Pravilu klijenta treba izvorna adresa koju Squid vidi; to može biti javna izlazna adresa NAT mreže, a ne privatna adresa prijenosnika.

Zamijenite dokumentacijske adrese ispod. Ograničenje klijenta je jedna adresa izražena kao /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Zamijenite odgovarajućeg slušatelja, ACL definicije i pravila pristupa u konfiguraciji paketa, čuvajući postavke zapisivanja i datotečnog sustava. Dodavanje pravila ispod ranijeg dopuštenja klijentu može zaobići ograničenje. Ponavljane definicije ACL popisa također mogu dodavati vrijednosti.

Kako zahtjevi prolaze kroz pravila

Početne zabrane odbijaju neželjene odredišne priključke, upravljačke zahtjeve i lokalna ili link-local odredišta. Poznati klijent dobiva pristup nakon tih provjera; svi ostali zahtjevi dolaze do završne zabrane. Zaštita odredišta ostaje potrebna jer sam popis dopuštenih izvora ne ograničava odredišta.

Prije izlaganja slušatelja ograničite vatrozid računala ili mreže na namjeravani izvor. Vezivanje bira gdje Squid prihvaća veze; pravila pristupa određuju koje zahtjeve dopušta.

sudo squid -k parse -f /etc/squid/squid.conf

Ispravite pogreške parsiranja prije ponovnog učitavanja upravljane usluge. Testirajte s dopuštenog klijenta i drugog kontroliranog izvora koji treba biti odbijen. Potvrdite da cilj prima samo odobreni zahtjev: sama TCP veza ne potvrđuje dopuštenje prosljeđivanja.

Povezani članci