Թույլատրել մեկ Squid նպատակակետ առանց պրոքսի նույնականացման

Մոնիտորինգի էջը պետք է աշխատի առանց պրոքսի մուտքի։ Ակնհայտ կանոնը http_access allow status_site-ն է։ Նույնականացումից առաջ տեղադրվելով՝ այն կարող է բացառությունը տալ նաև այն հաճախորդներին, որոնց երբեք չէիք նախատեսում սպասարկել։

Squid 6 կամ 7-ի համար բացառության պայմանները պահեք միասին։ Առկա կառավարման, վտանգավոր պորտերի, CONNECT-ի և տեղական ծառայությունների պաշտպանություններից հետո համապատասխան մասը կարող է այսպիսին լինել.

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Ցանցը և հոսթի անունը տեղապահներ են։ Նույնականացումը դեռ պահանջում է իր առկա օժանդակ կոնֆիգուրացիան։ Սա մուտքի քաղաքականության բացառության մասն է, ոչ թե ամբողջական պրոքսի կոնֆիգուրացիա։

Առաջին տողը թույլատրում է ընտրված հաճախորդներին այդ նպատակակետը՝ առանց մուտքի ACL-ը գնահատելու։ Հաջորդը թույլատրում է այդ հաճախորդներին այլուր միայն նույնականացումից հետո։ Ավելի վաղ լայն թույլտվությունները կամ ավելի ուշ այլընտրանքային ուղիները կարող են փոխել արդյունքը, ուստի կարդացեք ամբողջ դասավորված քաղաքականությունը՝ ներառյալ ներառված ֆայլերը։

Մի տեղափոխեք բացառությունը նպատակակետային պորտի պաշտպանություններից վեր միայն հուշումից խուսափելու համար։ Չնախատեսված պորտում լիազորված կայքը դեռ այլ երթուղի է։ Նաև որոշեք՝ արդյոք ճշգրիտ հոսթը կամ նրա ենթադոմենները պետք է որակավորվեն՝ ավելորդ լայն վերջածանց ավելացնելու փոխարեն։

Հոսթի անվան բացառությունը ծածկում է համապատասխան նպատակակետը, ոչ թե նրա էջի բեռնած յուրաքանչյուր կախվածություն։ Վերահղումները և երրորդ կողմի ռեսուրսները կարող են օրինականորեն հանդիպել սովորական մուտքի պահանջին։

Պարզ HTTP-ի համար պրոքսը կարող է օգտագործել ավելի ճշգրիտ URL տեղեկատվություն, երբ դա տեղին է։ Սովորական HTTPS CONNECT հարցումը չի բացահայտում էջի ուղին, ուստի «միայն մեկ էջ» կանոնը չի կարող դուրս բերվել ամբողջ հոսթն ընդգրկող թունելի բացառությունից։