myportname an src vum Squid mat getrennten ACLen kombinéieren

D’Konfiguratioun gesäit op den éischte Bléck plausibel aus:

acl team_a myportname 3128 src 198.51.100.0/24

Mä eng ACL-Definitioun huet nëmmen een Typ. Hei ass myportname den Typ; d’Wuert src derbäizesetzen fänkt keng zweet Prüfung un. Déi aner Wierder gehéieren zur Wäertlëscht vum éischten Typ. Déi Zeil dréckt net „dësen Listener an dëst Clientnetz“ aus.

Gitt all Bedingung en Numm

Benotzt en Numm fir de lauschterende Socket an eng separat Quell-ACL. Dësen Auszuch benotzt Dokumentatiounsadressen, déi duerch Adressen ersat musse ginn, déi zum Asaz passen:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Setzt d’Erlaabnesregel no de besteierende Schutzmoossname fir onsécher Zilporten, ageschränkt CONNECT-Ziler an Administratiounszougang. Den Auszuch illustréiert d’Bedingung Client/Listener; en ersetzt déi Schutzmoossnamen net.

Bedingungen op enger http_access-Zeil ginn mat AND kombinéiert. Zwou getrennte Erlaabneszeile wäerten all Bedingung onofhängeg zouloossen, wat d’Politik staark ännere géif. Méi Wäerter an enger ACL bidden normalerweis Alternativen fir déi eenzeg Prüfung.

Wielt den Ausgang getrennt

E passenden Listener kann och duerch tcp_outgoing_address benotzt ginn, fir eng lokal Quelladress ze wielen. Dat ass Routing-Wiel, net d’Erlaabnes de Proxy ze benotzen. Eng Regel fir d’Ausgangsadress kann eng ofgeleent Ufro net duerch http_access bréngen.

Wann eng Konfiguratioun mat méi Adressen no engem Upgrade ophält ze funktionéieren, trennt d’Beweiser: e Parsfehler weist op d’Syntax vun der Konfiguratioun; eng Zougangsverweigerung weist op d’Iwwereneestëmme vun de Regelen; eng erlaabten Ufro mat falschem Ausgang weist op d’Ausgangswiel oder en späteren NAT. All dräi gläichzäiteg z’änneren mécht e klengen ACL-Fehler vill méi schwéier ze fannen.