Squid PROXY protokolas: pasitikėkite siuntėju prieš HTTP prieigos patikras

Naudokite proxy_protocol_access, kad pasitikėtumėte rele, kuris tiekia metaduomenis, o ne tam, kad pasirinktumėte leidžiamas svetaines. „Squid“ 5–7 versijose patikra atliekama vieną kartą po TCP nustatymo require-proxy-header klausytojui, prieš apdorojant HTTP užklausos antraštes:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Pakeiskite pavyzdinį relės adresą ir apribokite tinklo prieigą prie šio klausytojo. Šiame etape „Squid“ patikrina tikrąjį TCP partnerį, prieš priimdamas pateiktus metaduomenis. Priėmęs juos, jis naudoja deklaruotą kliento adresą vėlesnėms ACL patikroms ir registravimui. Pasitikėjimas rele remiantis jo deklaruojamu kliento adresu apverstų šią tvarką.

Palikite http_access vėlesniems kliento šaltinio ir paskirties leidimams. Metaduomenų priėmimas nesuteikia teisės pasiekti svetaines, o paskirties srities ACL negali atsakyti į ankstesnį siuntėjo pasitikėjimo klausimą.

Siuntėjas ir gavėjas turi susitarti dėl palaikomos PROXY protokolo versijos. Įprastas HTTP klientas negali naudoti šio klausytojo su privalomu priešdėliu kaip įprasto tarpinio serverio galinio taško. Jei reikia abiejų formų, sąmoningai naudokite atskirus galinius taškus, o ne dubliuokite tą patį klausymosi adresą ir prievadą.

Patikimas relė gali daryti įtaką autorizacijai pagal adresą per tiekiamą kliento tapatybę. Suteikite šią galimybę tik numatytam tarpininkui.