Squid 6 prieigos taisyklės vienam kliento IP

Apribokite Squid 6.13 tiesioginį tarpinį serverį žinomu klientu, išlaikykite tikslų apsaugas ir prieš diegimą patikrinkite taisyklių tvarką.

Ši konfigūracija skirta Squid 6.13, įskaitant Debian 13 paketą. Įdiegtą versiją patvirtinkite su squid -v: Squid direktyvų žinynas žymi http_access kaip neprieinamą 8 versijoje.

Pirmiausia pasirinkite adresus

Klausytojui reikia serveriui priskirto adreso. Kliento taisyklei reikia šaltinio adreso, kurį mato Squid; tai gali būti viešas NAT tinklo išėjimo adresas, o ne privatus nešiojamojo kompiuterio adresas.

Pakeiskite toliau pateiktus dokumentacijos adresus. Kliento apribojimas yra vienas adresas, išreikštas kaip /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Paketo konfigūracijoje pakeiskite atitinkamą klausytoją, ACL aprašus ir prieigos taisykles, palikdami žurnalų bei failų sistemos nuostatas. Šių taisyklių pridėjimas po ankstesne kliento leidimo taisykle gali apeiti apribojimą. Pakartotiniai sąrašinės ACL aprašai taip pat gali pridėti reikšmių.

Kaip užklausos pereina taisykles

Pradiniai draudimai atmeta nepageidaujamus tikslinius prievadus, valdymo užklausas ir vietinius ar link-local tikslus. Žinomas klientas leidžiamas po šių patikrų; visos kitos užklausos pasiekia galutinį draudimą. Tikslų apsaugos lieka būtinos, nes vien šaltinių leidimų sąrašas neriboja tikslų.

Prieš atverdami klausytoją apribokite kompiuterio ar tinklo užkardą numatytu šaltiniu. Susiejimas parenka, kur Squid priima ryšius; prieigos taisyklės nustato, kurias užklausas jis leidžia.

sudo squid -k parse -f /etc/squid/squid.conf

Prieš perkraudami valdomos paslaugos konfigūraciją ištaisykite analizės klaidas. Bandykite iš leidžiamo kliento ir antro valdomo šaltinio, kuris turėtų būti atmestas. Patvirtinkite, kad tikslas gauna tik įgaliotą užklausą: vien TCP ryšys neįrodo leidimo persiųsti.

Susiję straipsniai