PROXY протокол во Squid: верувајте му на испраќачот пред HTTP проверките за пристап

Користете proxy_protocol_access за да му верувате на релето што ги доставува метаподатоците, а не за да избирате дозволени веб-страници. Во Squid 5–7 проверката се извршува еднаш по воспоставување на TCP на слушач require-proxy-header, пред да се обработат заглавјата на HTTP барањето:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Заменете ја примерната адреса на релето и ограничете го мрежниот пристап до овој слушач. Во оваа фаза Squid го проверува вистинскиот TCP партнер пред да ги прифати доставените метаподатоци. По прифаќањето ја користи наведената адреса на клиентот за следните ACL проверки и за евидентирање. Верувањето на релето врз основа на адресата на клиентот што ја тврди би го превртело тој редослед.

Задржете го http_access за подоцнежните дозволи за изворот на клиентот и целта. Прифаќањето метаподатоци не авторизира пристап до веб-страници, а ACL на целниот домен не може да одговори на претходното прашање за доверба во испраќачот.

Испраќачот и примачот мора да се договорат за поддржана верзија на PROXY протоколот. Обичен HTTP клиент не може да го користи овој слушач со задолжителен префикс како обична крајна точка на прокси. Ако се потребни двата облика, користете намерно одвоени крајни точки наместо да ја дуплирате истата адреса за слушање и порта.

Доверливо реле може да влијае врз авторизацијата заснована на адреса преку идентитетот на клиентот што го доставува. Доделете ја таа способност само на предвидениот посредник.