Regole di accesso Squid 6 per un IP client

Limita un proxy diretto Squid 6.13 a un client noto, conserva le protezioni di destinazione e controlla l’ordine delle regole prima del rilascio.

Questa configurazione è per Squid 6.13, compreso il pacchetto di Debian 13. Conferma la versione installata con squid -v: la documentazione delle direttive Squid indica http_access come non disponibile nella versione 8.

Scegli prima gli indirizzi

Il listener richiede un indirizzo assegnato al server. La regola del client richiede l’indirizzo sorgente osservato da Squid, che può essere l’uscita pubblica di una rete NAT invece dell’indirizzo privato di un portatile.

Sostituisci gli indirizzi di documentazione qui sotto. Il vincolo sul client è un solo indirizzo, espresso come /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Sostituisci listener, definizioni ACL e regole d’accesso corrispondenti nella configurazione del pacchetto, mantenendo le impostazioni di log e filesystem. Aggiungere queste regole sotto una precedente autorizzazione del client può aggirare il vincolo. Anche definizioni ripetute di una ACL a lista possono aggiungere valori.

Come le richieste attraversano le regole

I divieti iniziali rifiutano porte di destinazione indesiderate, richieste di gestione e destinazioni locali o link-local. Il client noto è ammesso dopo questi controlli; tutte le altre richieste raggiungono il divieto finale. Le protezioni di destinazione restano necessarie perché una lista di sorgenti ammesse da sola non limita le destinazioni.

Limita il firewall dell’host o della rete alla sorgente prevista prima di esporre il listener. Il binding decide dove Squid accetta connessioni; le regole d’accesso stabiliscono quali richieste permette.

sudo squid -k parse -f /etc/squid/squid.conf

Correggi gli errori di parsing prima di ricaricare il servizio gestito. Prova dal client autorizzato e da una seconda sorgente controllata che dovrebbe essere rifiutata. Verifica che la destinazione riceva solo la richiesta autorizzata: una connessione TCP da sola non dimostra il permesso d’inoltro.

Articoli correlati