Squid PROXY protokols: uzticieties sūtītājam pirms HTTP piekļuves pārbaudēm

Turiet Squid PROXY protokola sūtītāja pārbaudes atsevišķi no galamērķa domēna un klienta pieprasījuma autorizācijas.

Izmantojiet proxy_protocol_access, lai uzticētos starpniekam, kas piegādā metadatus, nevis lai atlasītu atļautās vietnes. Squid 5–7 versijās pārbaude tiek izpildīta vienreiz pēc TCP izveides require-proxy-header klausītājā, pirms tiek apstrādātas HTTP pieprasījuma galvenes:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Aizstājiet piemēra starpnieka adresi un ierobežojiet tīkla piekļuvi šim klausītājam. Šajā posmā Squid pārbauda faktisko TCP partneri, pirms pieņem piegādātos metadatus. Pēc pieņemšanas tas izmanto apgalvoto klienta adresi turpmākajām ACL pārbaudēm un žurnālēšanai. Uzticēšanās starpniekam, balstoties uz tā apgalvoto klienta adresi, apgrieztu šo kārtību.

Saglabājiet http_access vēlākajām klienta avota un galamērķa atļaujām. Metadatu pieņemšana neautorizē piekļuvi vietnēm, un galamērķa domēna ACL nevar atbildēt uz iepriekšējo jautājumu par uzticēšanos sūtītājam.

Sūtītājam un saņēmējam ir jāvienojas par atbalstītu PROXY protokola versiju. Parasts HTTP klients nevar izmantot šo klausītāju ar obligāto prefiksu kā parastu starpniekservera galapunktu. Ja nepieciešami abi veidi, apzināti izmantojiet atsevišķus galapunktus, nevis dublējiet to pašu klausīšanās adresi un portu.

Uzticams starpnieks var ietekmēt uz adresi balstītu autorizāciju ar piegādāto klienta identitāti. Piešķiriet šo iespēju tikai paredzētajam starpniekam.

Saistītie raksti