Squid 7 no-tproxy: 親プロキシへの送信元アドレス偽装を無効にする

Squid の TPROXY リスナーはクライアントのトラフィックを受信できても、親プロキシへの接続が失敗することがあります。その外向き接続で送信元アドレスを保持することは、親側のネットワーク経路にとって不適切な場合があります。

このオプションをサポートする Squid のリリースでは、該当する既存の cache_peer 定義に no-tproxy を追加します。たとえば、

cache_peer parent.example.net parent 8118 0 no-query no-tproxy

no-tproxy は、このピアへの接続でクライアントの送信元アドレス偽装を無効にします。リスナーの透過設定を削除するものではなく、ピアを単独で選択するものでもありません。導入環境の他の親選択オプションとルールは維持してください。それらのルールが認証なしの親経由で公開宛先への接続を許可している場合、HTTP プロキシ一覧が候補アドレスを提供します。既存の親資格情報を残さず、実際の CONNECT 先ごとに許可を確認してください。

親プロキシは今や Squid 自身の送信元アドレスから通常の接続を受け取ります。ただし NAT の影響は受けます。親のアクセス ポリシーと認証は、この下流プロキシを許可している必要があります。IP 制限を使っている場合は、親から見える送信元アドレスを確認してください。

このオプションは Squid 7 および以前のサポート対象リリース向けに文書化されています。設定リファレンスでは Squid 8 で利用不可と示されています。手順は使用中のバージョンに結び付けてください。