Leyfa eitt Squid-áfangastað án proxy-auðkenningar

Haltu upptaka- og áfangastaðamörkum í kringum viljandi auðkenningarundantekningu í Squid.

Eftirlitssíða þarf að virka án proxy-innskráningar. Augljósa reglan er http_access allow status_site. Ef hún er sett fyrir auðkenningu getur hún líka veitt undantekninguna til viðskiptavina sem þú ætlaðir aldrei að þjóna.

Fyrir Squid 6 eða 7 skaltu halda skilyrðum undantekningarinnar saman. Eftir núverandi vörnum fyrir stjórnun, óöruggar hafnir, CONNECT og staðbundna þjónustu getur viðkomandi hluti litið svona út:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Netið og hýsilnafnið eru staðgenglar. Auðkenning þarf enn núverandi hjálparstillingu sína. Þetta er undantekningarhluti aðgangstefnu, ekki heildar proxy-stilling.

Fyrsta línan leyfir völdum viðskiptavinum þennan áfangastað án þess að meta innskráningar-ACL. Næsta leyfir þessum viðskiptavinum annars staðar aðeins eftir auðkenningu. Fyrri víðtæk leyfi eða síðari aðrar leiðir geta breytt niðurstöðunni, svo lestu alla röðuðu stefnuna, þar á meðal innfelldar skrár.

Færðu undantekninguna ekki yfir vernd áfangastaðarhafnar bara til að forðast beiðni. Heimilað vefsvæði á óætlaðri höfn er samt önnur leið. Ákveddu líka hvort nákvæm hýsil eða undirlén hans eigi að eiga við í stað þess að bæta við óþarflega breiðu viðskeyti.

Hýsilnafnaundantekning nær yfir samsvarandi áfangastað, ekki hverja ósjálfstæða einingu sem síðan hans hleður. Endurbeiningar og þriðja aðila eignir geta lögmætlega mætt venjulegri innskráningarkröfu.

Fyrir venjulegt HTTP getur proxy notað nákvæmari URL-upplýsingar þar sem við á. Venjuleg HTTPS CONNECT-beiðni afhjúpar ekki slóð síðunnar, svo ekki er hægt að álykta regluna „aðeins ein síða“ út frá undantekningu fyrir göng fyrir allan hýsilinn.

Tengdir greinar