Protokol PROXY Squid: percayai pengirim sebelum pemeriksaan akses HTTP

Gunakan proxy_protocol_access untuk memercayai relay yang memasok metadata, bukan untuk memilih situs web yang diizinkan. Pada Squid 5–7 pemeriksaan berjalan sekali setelah penyiapan TCP pada listener require-proxy-header, sebelum header permintaan HTTP diproses:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Ganti alamat relay contoh dan batasi akses jaringan ke listener ini. Pada tahap ini Squid memeriksa rekan TCP yang sebenarnya sebelum menerima metadata yang dipasok. Setelah diterima, ia memakai alamat klien yang dinyatakan untuk pemeriksaan ACL dan pencatatan berikutnya. Memercayai relay berdasarkan alamat klien yang diklaimnya akan membalik urutan itu.

Pertahankan http_access untuk izin sumber klien dan tujuan yang lebih akhir. Menerima metadata tidak mengizinkan akses situs web, dan ACL domain tujuan tidak dapat menjawab pertanyaan kepercayaan pengirim yang lebih awal.

Pengirim dan penerima harus menyepakati versi protokol PROXY yang didukung. Klien HTTP biasa tidak dapat memakai listener berawalan wajib ini sebagai titik akhir proksi biasa. Jika kedua bentuk diperlukan, gunakan titik akhir yang sengaja dipisah alih-alih menduplikasi alamat dengar dan porta yang sama.

Relay tepercaya dapat memengaruhi otorisasi berbasis alamat melalui identitas klien yang dipasoknya. Berikan kemampuan itu hanya kepada perantara yang dimaksud.