Միավորել Squid-ի myportname-ը և src-ը առանձին ACL-ներով

Կազմաձևը առաջին հայացքից հավաստի է թվում.

acl team_a myportname 3128 src 198.51.100.0/24

Սակայն ACL սահմանումն ունի միայն մեկ տիպ։ Այստեղ myportname-ը տիպն է. src բառի ավելացումը չի սկսում երկրորդ ստուգում։ Մնացած բառերը պատկանում են առաջին տիպի արժեքների ցանկին։ Այդ տողը չի արտահայտում «այս listener-ը և այս client ցանցը»։

Անուն տվեք յուրաքանչյուր պայմանին

Օգտագործեք անուն լսող socket-ի համար և առանձին ACL՝ աղբյուրի համար։ Այս հատվածը օգտագործում է փաստաթղթային հասցեներ, որոնք պետք է փոխարինվեն տեղաբաշխմանը համապատասխան հասցեներով.

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Թույլատրման կանոնը տեղադրեք անվտանգ չհանդիսացող նպատակակետ պորտերի, սահմանափակված CONNECT թիրախների և կառավարման հասանելիության գործող պաշտպանություններից հետո։ Հատվածը ցույց է տալիս client/listener պայմանը. այն չի փոխարինում այդ պաշտպանություններին։

Մեկ http_access տողի պայմանները միավորվում են AND-ով։ Երկու առանձին թույլատրման տողեր կընդունեին յուրաքանչյուր պայմանը ինքնուրույն, ինչը զգալիորեն կփոխեր քաղաքականությունը։ Մեկ ACL-ի ներսում մի քանի արժեքներ սովորաբար այլընտրանքներ են տալիս այդ մեկ ստուգմանը։

Ելքը ընտրեք առանձին

Համապատասխան listener-ը կարող է օգտագործվել նաև tcp_outgoing_address-ով՝ տեղական աղբյուրի հասցե ընտրելու համար։ Դա երթուղայնացման ընտրություն է, ոչ թե proxy-ից օգտվելու թույլտվություն։ Ելքային հասցեի կանոնը չի կարող մերժված հարցումը անցկացնել http_access-ով։

Եթե բազմահասցե կազմաձևը դադարում է աշխատել թարմացումից հետո, առանձնացրեք ապացույցները. վերլուծության սխալը մատնանշում է կազմաձևի շարահյուսությունը. հասանելիության մերժումը՝ կանոնների համընկնումը. թույլատրված հարցումը սխալ ելքով՝ ելքի ընտրությունը կամ ավելի ուշ NAT-ը։ Երեքն էլ միաժամանակ փոխելը շատ ավելի դժվարացնում է փոքր ACL սխալի հայտնաբերումը։