Комбинирање на myportname и src во Squid со одделни ACL

Комбинирајте именуван Squid listener со дозволена клиентска мрежа без ставање два типа ACL во истата дефиниција.

Конфигурацијата на прв поглед изгледа веродостојно:

acl team_a myportname 3128 src 198.51.100.0/24

Но дефиницијата на ACL има само еден тип. Овде myportname е типот; додавањето на зборот src не започнува втора проверка. Останатите зборови припаѓаат на списокот вредности на првиот тип. Таа линија не изразува „овој listener и оваа клиентска мрежа“.

Дајте име на секој услов

Користете име за сокетот што слуша и одделен ACL за изворот. Овој извадок користи документациски адреси, кои треба да се заменат со адреси соодветни за распоредувањето:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Поставете го правилото за дозвола по постојните заштити за небезбедни одредишни порти, ограничени CONNECT цели и административен пристап. Извадокот го илустрира условот клиент/listener; тој не ги заменува тие заштити.

Условите на една линија http_access се комбинираат со AND. Две одделни линии за дозвола би дозволиле кој било услов независно, што значително би ја сменило политиката. Неколку вредности во еден ACL обично даваат алтернативи за таа единствена проверка.

Изберете го излезот одделно

Соодветен listener може да се користи и преку tcp_outgoing_address за избор на локална изворна адреса. Тоа е избор на рутирање, не дозвола за користење на проксито. Правило за излезна адреса не може да пропушти одбиено барање низ http_access.

Ако конфигурација со повеќе адреси престане да работи по надградба, одделете ги доказите: грешка при парсирање укажува на синтаксата на конфигурацијата; одбивање пристап укажува на совпаѓање на правила; дозволено барање со погрешен излез укажува на избор на излез или подоцнежен NAT. Менувањето на сите три одеднаш прави мала ACL грешка многу потешка за пронаоѓање.

Поврзани статии