Wajibkan Login Squid dan IP Klien yang Benar Sekaligus

Kata sandi yang benar hanyalah separuh dari kebijakan ini: akun juga harus berfungsi dari satu alamat klien yang disetujui. Di Squid, menempatkan kedua pemeriksaan pada aturan akses yang sama adalah perbedaan antara persyaratan itu dan dua jalur masuk yang terpisah.

Dengan asumsi autentikasi sudah dikonfigurasi, seperti penyiapan NCSA Squid 6.13, kebijakan intinya adalah:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Gunakan sumber yang benar-benar diterima Squid; contohnya adalah alamat dokumentasi. Pertahankan perlindungan sebelumnya untuk port tujuan yang tidak aman, layanan lokal, dan lalu lintas CONNECT. Fragmen ini menunjukkan kondisi gabungan, bukan konfigurasi listener lengkap.

Periksa aturan di atasnya

Izin luas sebelumnya dapat menerima permintaan sebelum mencapai kondisi baru. Referensi http_access menjelaskan pencocokan berurutan. Baca seluruh urutan, termasuk berkas yang disertakan.

Satu izin untuk nama pengguna dan satu lagi untuk sumber tidak mewajibkan keduanya. Salah satu baris dapat berhasil secara independen. Itu kebijakan yang berbeda.

ACL proxy_auth bergantung pada pembantu autentikasi. Mendefinisikannya bukan cara membuat pengguna atau memvalidasi kata sandi. Contoh ini untuk proxy eksplisit yang kliennya dapat menanggapi tantangan autentikasi proxy.

Identitas sumber juga memiliki batasan. Orang di balik satu NAT dapat berbagi alamat, dan laptop yang berpindah dapat berganti alamat. Kondisi tambahan mempersempit lokasi jaringan yang dapat digunakan akun; kondisi itu tidak mengidentifikasi komputer fisik secara andal. Pastikan batasan tersebut sesuai dengan alasan Anda menambahkan kondisi itu pada awalnya.