Mappare le porte di ascolto di Squid sugli IP di origine in uscita

Quattro porte proxy non significano automaticamente quattro IP pubblici. Squid di solito lascia che il sistema operativo scelga un indirizzo di origine per la connessione in uscita. Per rendere significativa la scelta della porta, collegatela a una politica esplicita degli indirizzi in uscita.

Nelle configurazioni di Squid 7 che supportano queste direttive, un frammento di routing può usare listener denominati:

http_port 3128 name=exit_a
http_port 3129 name=exit_b
acl on_a myportname exit_a
acl on_b myportname exit_b
tcp_outgoing_address 192.0.2.10 on_a
tcp_outgoing_address 192.0.2.11 on_b

Gli indirizzi sono esempi di documentazione. Sostituiteli con indirizzi assegnati e utilizzabili sul vostro host. Questo aggiunge routing a una configurazione proxy già limitata; non fornisce autenticazione né regole di accesso dei client.

La scelta dell'origine è solo una parte del percorso

Il riferimento sull'indirizzo in uscita descrive la corrispondenza ordinata e la scelta della famiglia di indirizzi. Un'origine IPv4 non può diventare l'origine di una connessione IPv6. Con provider diversi per indirizzi diversi, la politica di routing dell'host deve usare un gateway compatibile per ciascuno.

Un NAT a monte può tradurre due indirizzi locali scelti in un unico indirizzo pubblico. La mappatura dei listener può quindi funzionare localmente senza produrre le identità pubbliche previste. Anche un proxy padre può diventare l'uscita finale verso il sito web.

Le connessioni esistenti meritano attenzione. La documentazione di Squid avverte delle regole in uscita dipendenti dal client e delle connessioni persistenti lato server. Riusare una connessione stabilita con una politica precedente può far sembrare inefficace una scelta modificata.

Interpretate l'indirizzo visto dal sito web insieme alla politica locale e a una connessione nuova. Una porta in ingresso diversa è un segnale di scelta, non un meccanismo di assegnazione degli indirizzi IP.