Squid PROXY protokoll: bízzon a küldőben a HTTP-hozzáférési ellenőrzések előtt

A proxy_protocol_access segítségével a metaadatokat szállító relayben bízzon, ne az engedélyezett webhelyek kiválasztására használja. A Squid 5–7 verzióiban az ellenőrzés a TCP felépítése után egyszer fut le egy require-proxy-header figyelőn, még az HTTP-kérés fejléceinek feldolgozása előtt:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Cserélje le a példabeli relay-címet, és korlátozza a hálózati hozzáférést erre a figyelőre. Ebben a szakaszban a Squid a tényleges TCP-partnert ellenőrzi, mielőtt elfogadná a szállított metaadatokat. Az elfogadás után az állított klienscímet használja a későbbi ACL-ellenőrzésekhez és a naplózáshoz. Ha a relayben az általa állított klienscím alapján bízna meg, az megfordítaná ezt a sorrendet.

Tartsa meg a http_access a későbbi kliensforrás- és célengedélyekhez. A metaadatok elfogadása nem engedélyezi a webhelyek elérését, és egy célomain-ACL nem tud válaszolni a korábbi, küldőbe vetett bizalom kérdésére.

A küldőnek és a fogadónak meg kell állapodnia a PROXY protokoll támogatott verziójában. Egy egyszerű HTTP-kliens nem használhatja ezt a kötelező előtagú figyelőt közönséges proxyvégpontként. Ha mindkét forma szükséges, szándékosan külön végpontokat használjon, ahelyett hogy ugyanazt a figyelési címet és portot duplikálná.

Egy megbízható relay a szállított kliensidentitáson keresztül befolyásolhatja a címalapú engedélyezést. Ezt a képességet csak a szánt közvetítőnek adja meg.