Squid myportname un src apvienošana ar atsevišķiem ACL

Konfigurācija no pirmā acu uzmetiena šķiet ticama:

acl team_a myportname 3128 src 198.51.100.0/24

Taču ACL definīcijai ir tikai viens tips. Šeit myportname ir tips; vārda src pievienošana neuzsāk otru pārbaudi. Pārējie vārdi pieder pirmā tipa vērtību sarakstam. Šī rinda neizsaka „šis listener un šis klientu tīkls“.

Piešķiriet katram nosacījumam nosaukumu

Izmantojiet nosaukumu klausīšanās ligzdai un atsevišķu avota ACL. Šis fragments izmanto dokumentācijas adreses, kas jāaizstāj ar izvietošanai piemērotām adresēm:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Novietojiet atļaujas noteikumu pēc esošajām aizsardzībām nedrošiem mērķa portiem, ierobežotiem CONNECT mērķiem un pārvaldības piekļuvei. Fragments ilustrē klienta/listener nosacījumu; tas neaizstāj šīs aizsardzības.

Nosacījumi vienā http_access rindā tiek apvienoti ar AND. Divas atsevišķas atļaujas rindas pieņemtu jebkuru nosacījumu neatkarīgi, kas ievērojami mainītu politiku. Vairākas vērtības vienā ACL parasti nodrošina alternatīvas šai vienīgajai pārbaudei.

Izvēlieties izeju atsevišķi

Atbilstošu listener var izmantot arī ar tcp_outgoing_address, lai izvēlētos lokālu avota adresi. Tā ir maršrutēšanas izvēle, nevis atļauja izmantot starpniekserveri. Izejošās adreses noteikums nevar likt noraidītam pieprasījumam iziet cauri http_access.

Ja vairāku adrešu konfigurācija pārstāj darboties pēc jaunināšanas, atdaliet pierādījumus: parsēšanas kļūda norāda uz konfigurācijas sintaksi; piekļuves atteikums norāda uz noteikumu atbilstību; atļauts pieprasījums ar nepareizu izeju norāda uz izejas izvēli vai vēlāku NAT. Visu trīs maiņa vienlaikus padara mazu ACL kļūdu daudz grūtāk atrodamu.