Нэг клиент IP-д зориулсан Squid 6 хандалтын дүрэм

Squid 6.13 шууд проксийг мэдэгдэж буй клиентээр хязгаарлаж, зорилтын хамгаалалтыг хадгалан, ашиглахаас өмнө дүрмийн дарааллыг шалга.

Энэ тохиргоо Debian 13-ын багцыг оролцуулаад Squid 6.13-т зориулагдсан. Суулгасан хувилбарыг squid -v-ээр шалга. Squid-ийн зааврын лавлах http_access нь 8 хувилбарт байхгүйг тэмдэглэсэн.

Эхлээд хаягуудыг сонго

Сонсогчид серверт оноосон хаяг хэрэгтэй. Клиентийн дүрэмд Squid-ийн хардаг эх үүсвэрийн хаяг хэрэгтэй бөгөөд энэ нь зөөврийн компьютерийн хувийн хаяг бус NAT сүлжээний нийтийн гарцын хаяг байж болно.

Доорх баримт бичгийн хаягуудыг соль. Клиентийн хязгаарлалт нь /32 хэлбэрээр илэрхийлсэн нэг хаяг юм.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Багцын тохиргооноос холбогдох сонсогч, ACL тодорхойлолт, хандалтын дүрмийг сольж, лог болон файлын системийн тохиргоог хадгал. Эдгээр дүрмийг өмнөх клиент зөвшөөрөх дүрмийн доор нэмбэл хязгаарлалтыг тойрч болно. Жагсаалт ACL-ийн давтан тодорхойлолт мөн утга нэмж болно.

Хүсэлтүүд дүрмээр хэрхэн дамждаг вэ

Эхний хоригууд хүсээгүй зорилтот порт, удирдлагын хүсэлт болон локал эсвэл link-local зорилтыг няцаана. Мэдэгдэж буй клиент эдгээр шалгалтын дараа зөвшөөрөгдөнө; бусад бүх хүсэлт эцсийн хоригт хүрнэ. Эх үүсвэрийн зөвшөөрөх жагсаалт дангаараа зорилтыг хязгаарладаггүй учраас зорилтын хамгаалалт шаардлагатай хэвээр.

Сонсогчийг нээхээс өмнө хост эсвэл сүлжээний галт ханыг зорьсон эх үүсвэрээр хязгаарла. Холбож өгөх хаяг Squid хаана холболт хүлээж авахыг, хандалтын дүрэм ямар хүсэлтийг зөвшөөрөхийг тогтооно.

sudo squid -k parse -f /etc/squid/squid.conf

Удирдлагатай үйлчилгээг дахин ачаалахаас өмнө задлах алдааг зас. Зөвшөөрөгдсөн клиент болон хориглогдох ёстой хоёр дахь хяналттай эх үүсвэрээс турш. Зорилт зөвхөн эрхтэй хүсэлт хүлээн авч байгааг батал. TCP холболт дангаараа цааш дамжуулах эрхийг нотлохгүй.

Холбоотой нийтлэлүүд