Правила за пристап во Squid 6 за една клиентска IP

Ограничете Squid 6.13 forward-прокси на познат клиент, задржете ги заштитите на целите и проверете го редоследот пред примена.

Оваа конфигурација е за Squid 6.13, вклучувајќи го пакетот на Debian 13. Потврдете ја инсталираната верзија со squid -v: референцата за директиви на Squid го означува http_access како недостапен во верзијата 8.

Прво изберете ги адресите

Слушачот бара адреса доделена на серверот. Клиентското правило ја бара изворната адреса што ја гледа Squid; таа може да биде јавната излезна адреса на NAT-мрежа, а не приватната адреса на лаптопот.

Заменете ги документациските адреси подолу. Ограничувањето на клиентот е една адреса, изразена како /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Заменете ги соодветниот слушач, ACL-дефинициите и правилата за пристап во конфигурацијата на пакетот, зачувувајќи ги поставките за дневници и датотечен систем. Додавање правила под претходна дозвола за клиентот може да го заобиколи ограничувањето. Повторени дефиниции на листовна ACL исто така можат да додаваат вредности.

Како барањата минуваат низ правилата

Почетните забрани одбиваат несакани целни порти, барања за управување и локални или link-local цели. Познатиот клиент е дозволен по тие проверки; сите други барања стигнуваат до конечната забрана. Заштитите на целите остануваат потребни бидејќи самата листа на дозволени извори не ги ограничува целите.

Ограничете го заштитниот ѕид на хостот или мрежата на предвидениот извор пред да го изложите слушачот. Врзувањето избира каде Squid прифаќа врски; правилата за пристап одредуваат кои барања ги дозволува.

sudo squid -k parse -f /etc/squid/squid.conf

Поправете ги грешките при парсирање пред повторно вчитување на управуваната услуга. Тестирајте од дозволениот клиент и втор контролиран извор што треба да биде одбиен. Потврдете дека целта го добива само овластеното барање: самата TCP-врска не докажува дозвола за препраќање.

Поврзани статии