Squid 6 hozzáférési szabályok egyetlen kliens-IP-hez

Korlátozz egy Squid 6.13 előremenő proxyt ismert kliensre, tartsd meg a célvédelmet, és bevezetés előtt ellenőrizd a szabályok sorrendjét.

Ez a beállítás a Squid 6.13-ra vonatkozik, a Debian 13 csomagját is beleértve. Az squid -v paranccsal ellenőrizd a telepített verziót: a Squid direktívajegyzéke szerint az http_access nem érhető el a 8-as verzióban.

Először válaszd ki a címeket

A figyelőnek a szerverhez rendelt cím kell. A kliensszabályhoz a Squid által látott forráscím szükséges; ez a NAT-hálózat nyilvános kilépési címe is lehet a laptop privát címe helyett.

Cseréld le az alábbi dokumentációs címeket. A klienskorlát egyetlen cím, /32 alakban megadva.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

A csomag konfigurációjában cseréld a megfelelő figyelőt, ACL-definíciókat és hozzáférési szabályokat, de őrizd meg a naplózási és fájlrendszer-beállításokat. Ha ezeket egy korábbi kliensengedélyező szabály alá fűzöd, megkerülhető a korlát. A listás ACL ismételt definíciói további értékeket is hozzáadhatnak.

Hogyan haladnak a kérések a szabályokon?

A kezdeti tiltások elutasítják a nem kívánt célportokat, kezelési kéréseket és helyi vagy link-local célokat. Az ismert kliens ezek után kap engedélyt; minden más kérés a végső tiltásig jut. A célvédelmek továbbra is kellenek, mert a források engedélyezési listája önmagában nem korlátozza a célokat.

A figyelő megnyitása előtt korlátozd a gép vagy a hálózat tűzfalát a kívánt forrásra. A kötés azt választja ki, hol fogad a Squid kapcsolatot; a hozzáférési szabályok azt döntik el, mely kéréseket engedi.

sudo squid -k parse -f /etc/squid/squid.conf

A kezelt szolgáltatás újratöltése előtt javítsd az értelmezési hibákat. Tesztelj az engedélyezett kliensből és egy második, felügyelt forrásból, amelyet tiltani kell. Ellenőrizd, hogy a cél csak az engedélyezett kérést kapja: a TCP-kapcsolat önmagában nem igazol továbbítási engedélyt.

Kapcsolódó cikkek