Squid PROXY protokol: vjerujte pošiljatelju prije HTTP provjera pristupa

Držite provjere pošiljatelja PROXY protokola u Squidu odvojeno od autorizacije odredišne domene i klijentskog zahtjeva.

Koristite proxy_protocol_access da vjerujete releju koji dostavlja metapodatke, a ne da birate dopuštene web lokacije. U Squidu 5–7 provjera se izvodi jednom nakon uspostavljanja TCP-a na slušaču require-proxy-header, prije obrade zaglavlja HTTP zahtjeva:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Zamijenite primjer adrese releja i ograničite mrežni pristup na ovaj slušač. U ovoj fazi Squid provjerava stvarnog TCP partnera prije prihvaćanja dostavljenih metapodataka. Nakon prihvaćanja koristi tvrđenu adresu klijenta za kasnije ACL provjere i zapisivanje. Povjerenje releju na temelju adrese klijenta koju tvrdi obrnulo bi taj redoslijed.

Zadržite http_access za kasnije dozvole izvora klijenta i odredišta. Prihvaćanje metapodataka ne autorizira pristup web lokacijama, a ACL odredišne domene ne može odgovoriti na ranije pitanje povjerenja u pošiljatelja.

Pošiljatelj i primatelj moraju se dogovoriti o podržanoj verziji PROXY protokola. Običan HTTP klijent ne može koristiti ovaj slušač s obveznim prefiksom kao uobičajenu proxy krajnju točku. Ako su potrebna oba oblika, koristite namjerno odvojene krajnje točke umjesto dupliciranja iste adrese slušanja i porta.

Pouzdan relej može utjecati na autorizaciju temeljenu na adresi kroz identitet klijenta koji dostavlja. Dodijelite tu mogućnost samo predviđenom posredniku.

Povezani članci