Atļaut vienu Squid galamērķi bez starpniekservera autentifikācijas

Saglabājiet avota un galamērķa ierobežojumus ap tīšu autentifikācijas izņēmumu Squid.

Uzraudzības lapai jādarbojas bez pieteikšanās starpniekserverī. Acīmredzamais noteikums ir http_access allow status_site. Novietots pirms autentifikācijas, tas var piešķirt izņēmumu arī klientiem, kurus nekad neplānojāt apkalpot.

Squid 6 vai 7 gadījumā turiet izņēmuma nosacījumus kopā. Pēc esošajām pārvaldības, nedrošo portu, CONNECT un vietējo pakalpojumu aizsardzībām attiecīgā daļa var izskatīties šādi:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Tīkls un resursdatora nosaukums ir vietturi. Autentifikācijai joprojām nepieciešama tās esošā palīgkonfigurācija. Šī ir piekļuves politikas izņēmuma daļa, nevis pilnīga starpniekservera konfigurācija.

Pirmā rinda atļauj atlasītajiem klientiem šo galamērķi, neizvērtējot pieteikšanās ACL. Nākamā atļauj šiem klientiem citur tikai pēc autentifikācijas. Agrāki plaši atļaujas vai vēlāki alternatīvi ceļi var mainīt rezultātu, tāpēc izlasiet visu sakārtoto politiku, ieskaitot iekļautos failus.

Nepārvietojiet izņēmumu virs galamērķa porta aizsardzībām tikai tāpēc, lai izvairītos no uzvednes. Autorizēta vietne neplānotā portā joprojām ir cits maršruts. Arī izlemiet, vai kvalificēties jābūt precīzajam resursdatoram vai tā apakšdomēniem, nevis pievienot lieki plašu sufiksu.

Resursdatora nosaukuma izņēmums aptver atbilstošo galamērķi, nevis katru atkarību, ko ielādē tā lapa. Pārvirzījumi un trešo pušu aktīvi var likumīgi saskarties ar parasto pieteikšanās prasību.

Vienkāršam HTTP starpniekserveris var izmantot precīzāku URL informāciju, kur tas ir lietderīgi. Parasts HTTPS CONNECT pieprasījums neatklāj lapas ceļu, tāpēc noteikumu “tikai viena lapa” nevar secināt no visu resursdatoru aptveroša tuneļa izņēmuma.

Saistītie raksti