Squid PROXY 프로토콜: HTTP 접근 검사 전에 송신자를 신뢰하라

proxy_protocol_access 은 메타데이터를 공급하는 릴레이를 신뢰하는 데 쓰고, 허용할 웹사이트를 고르는 데는 쓰지 않습니다. Squid 5–7 에서 이 검사는 TCP 설정 후 require-proxy-header 리스너에서 한 번, HTTP 요청 헤더가 처리되기 전에 실행됩니다:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

예시의 릴레이 주소를 바꾸고 이 리스너로의 네트워크 접근을 제한하십시오. 이 단계에서 Squid 는 공급된 메타데이터를 받아들이기 전에 실제 TCP 피어를 검사합니다. 받아들인 뒤에는 주장된 클라이언트 주소를 이후의 ACL 검사와 기록에 사용합니다. 릴레이가 주장하는 클라이언트 주소를 근거로 신뢰하면 이 순서가 뒤집힙니다.

http_access 은 이후의 클라이언트 출처와 목적지 권한을 위해 남겨 두십시오. 메타데이터를 받아들이는 것은 웹사이트 접근을 허용하지 않으며, 목적지 도메인 ACL 은 앞선 송신자 신뢰 질문에 답할 수 없습니다.

송신자와 수신자는 지원되는 PROXY 프로토콜 버전에 합의해야 합니다. 일반 HTTP 클라이언트는 필수 접두사가 붙은 이 리스너를 평범한 프록시 엔드포인트로 쓸 수 없습니다. 두 형태가 모두 필요하면 같은 수신 주소와 포트를 중복하는 대신 의도적으로 분리된 엔드포인트를 사용하십시오.

신뢰된 릴레이는 자신이 공급하는 클라이언트 신원을 통해 주소 기반 권한에 영향을 줄 수 있습니다. 그 능력은 의도된 중개자에게만 부여하십시오.