Squid 6 piekļuves noteikumi vienam klienta IP

Ierobežojiet Squid 6.13 tiešo starpniekserveri ar zināmu klientu, saglabājiet mērķu aizsardzību un pārbaudiet noteikumu secību pirms ieviešanas.

Šī konfigurācija paredzēta Squid 6.13, tostarp Debian 13 pakotnei. Pārbaudiet instalēto versiju ar squid -v: Squid direktīvu rokasgrāmata atzīmē http_access kā nepieejamu 8. versijā.

Vispirms izvēlieties adreses

Klausītājam vajadzīga serverim piešķirta adrese. Klienta noteikumam vajadzīga avota adrese, ko redz Squid; tā var būt NAT tīkla publiskā izejas adrese, nevis klēpjdatora privātā adrese.

Aizstājiet tālākās dokumentācijas adreses. Klienta ierobežojums ir viena adrese, izteikta kā /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Aizstājiet attiecīgo klausītāju, ACL definīcijas un piekļuves noteikumus pakotnes konfigurācijā, saglabājot žurnālu un failu sistēmas iestatījumus. Šo noteikumu pievienošana zem agrākas klienta atļaujas var apiet ierobežojumu. Atkārtotas saraksta ACL definīcijas var arī pievienot vērtības.

Kā pieprasījumi iziet noteikumus

Sākotnējie aizliegumi noraida nevēlamus mērķa portus, pārvaldības pieprasījumus un vietējus vai link-local mērķus. Zināmais klients tiek atļauts pēc šīm pārbaudēm; visi pārējie pieprasījumi nonāk pie galīgā aizlieguma. Mērķu aizsardzība joprojām vajadzīga, jo avotu atļauju saraksts vien neierobežo mērķus.

Pirms klausītāja atvēršanas ierobežojiet resursdatora vai tīkla ugunsmūri ar paredzēto avotu. Piesaistīšana izvēlas, kur Squid pieņem savienojumus; piekļuves noteikumi nosaka, kurus pieprasījumus tas atļauj.

sudo squid -k parse -f /etc/squid/squid.conf

Izlabojiet parsēšanas kļūdas pirms pārvaldītā pakalpojuma konfigurācijas pārlādes. Testējiet no atļautā klienta un otra kontrolēta avota, kas būtu jānoraida. Apstipriniet, ka mērķis saņem tikai atļauto pieprasījumu: TCP savienojums vien nepierāda pārsūtīšanas atļauju.

Saistītie raksti