Squid-те myportname мен src-ті бөлек ACL-дермен біріктіру

Бір анықтамаға екі ACL түрін қоймай, аталған Squid listener-ін рұқсат етілген клиент желісімен біріктіріңіз.

Конфигурация алғашқы көзқараста сенімді көрінеді:

acl team_a myportname 3128 src 198.51.100.0/24

Бірақ ACL анықтамасының бір ғана түрі болады. Мұнда myportname — түр; src сөзін қосу екінші тексеруді бастамайды. Қалған сөздер бірінші түрдің мәндер тізіміне жатады. Бұл жол «осы listener және осы клиент желісі» дегенді білдірмейді.

Әр шартқа ат беріңіз

Тыңдайтын сокетке ат, ал көзге бөлек ACL қолданыңыз. Бұл үзінді құжаттамалық мекенжайларды пайдаланады, оларды орналастыруға сәйкес мекенжайлармен ауыстыру керек:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Рұқсат ету ережесін қауіпті мақсатты порттар, шектелген CONNECT мақсаттары және әкімшілік қатынас үшін бар қорғаныстардан кейін орналастырыңыз. Үзінді клиент/listener шартын көрсетеді; ол сол қорғаныстарды алмастырмайды.

Бір http_access жолындағы шарттар AND арқылы біріктіріледі. Екі бөлек рұқсат жолы әр шартты дербес өткізер еді, бұл саясатты айтарлықтай өзгертер еді. Бір ACL ішіндегі бірнеше мән әдетте сол жалғыз тексеруге баламалар береді.

Шығуды бөлек таңдаңыз

Сәйкес listener-ді tcp_outgoing_address арқылы да жергілікті көз мекенжайын таңдауға қолдануға болады. Бұл бағыттау таңдауы, проксиді пайдалануға рұқсат емес. Шығыс мекенжайы ережесі қабылданбаған сұранысты http_access арқылы өткізе алмайды.

Көп мекенжайлы конфигурация жаңартудан кейін жұмысын тоқтатса, дәлелдерді ажыратыңыз: талдау қатесі конфигурация синтаксисін көрсетеді; қатынасты қабылдамау ережелердің сәйкестігін көрсетеді; рұқсат етілген сұраныстың қате шығыспен өтуі шығыс таңдауын немесе кейінгі NAT-ты көрсетеді. Үшеуін бірден өзгерту шағын ACL қатесін табуды әлдеқайда қиындатады.

Қатысты мақалалар