Squid 6-ის წვდომის წესები ერთი კლიენტის IP-სთვის

ეს კონფიგურაცია Squid 6.13-ს ეხება, Debian 13-ის პაკეტის ჩათვლით. დაადასტურეთ დაყენებული ვერსია squid -v-ით: Squid-ის დირექტივების ცნობარი http_access-ს 8 ვერსიაში მიუწვდომლად აღნიშნავს.

ჯერ აირჩიეთ მისამართები

მსმენელს სერვერზე მინიჭებული მისამართი სჭირდება. კლიენტის წესს სჭირდება წყაროს მისამართი, რომელსაც Squid ხედავს; ეს შეიძლება NAT ქსელის საჯარო გამოსასვლელი მისამართი იყოს და არა ლეპტოპის კერძო მისამართი.

შეცვალეთ ქვემოთ მოცემული დოკუმენტაციის მისამართები. კლიენტის შეზღუდვა ერთი მისამართია, /32 სახით გამოხატული.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

პაკეტის კონფიგურაციაში შეცვალეთ შესაბამისი მსმენელი, ACL განსაზღვრებები და წვდომის წესები, მაგრამ შეინარჩუნეთ ჟურნალებისა და ფაილური სისტემის პარამეტრები. ამ წესების ადრინდელი კლიენტის ნებართვის ქვემოთ დამატებამ შეიძლება შეზღუდვა გვერდი აუაროს. სიის ტიპის ACL-ის განმეორებით განსაზღვრებებმაც შეიძლება მნიშვნელობები დაამატონ.

როგორ გადის მოთხოვნები წესებს

საწყისი უარყოფები ბლოკავს არასასურველ დანიშნულების პორტებს, მართვის მოთხოვნებს და ლოკალურ ან link-local დანიშნულებებს. ცნობილი კლიენტი ამ შემოწმებების შემდეგ დაიშვება; დანარჩენი მოთხოვნები საბოლოო უარყოფამდე მიდის. დანიშნულების დაცვა კვლავ საჭიროა, რადგან მარტო წყაროების ნებადართული სია დანიშნულებებს არ ზღუდავს.

მსმენელის გახსნამდე ჰოსტის ან ქსელის ფაიერვოლი განკუთვნილი წყაროთი შეზღუდეთ. მიბმა ირჩევს, სად იღებს Squid კავშირებს; წვდომის წესები განსაზღვრავს, რომელ მოთხოვნებს უშვებს.

sudo squid -k parse -f /etc/squid/squid.conf

მართვადი სერვისის ხელახლა ჩატვირთვამდე გაასწორეთ გარჩევის შეცდომები. გამოცადეთ ნებადართული კლიენტიდან და მეორე კონტროლირებადი წყაროდან, რომელიც უნდა უარყოფილიყო. დარწმუნდით, რომ მიზანი მხოლოდ უფლებამოსილ მოთხოვნას იღებს: TCP კავშირი მარტო გადაგზავნის უფლებას არ ამტკიცებს.