Tillat én Squid-destinasjon uten proxy-autentisering

En overvåkingsside må fungere uten proxy-innlogging. Den åpenbare regelen er http_access allow status_site. Plassert før autentisering kan den også gi unntaket til klienter du aldri hadde til hensikt å betjene.

For Squid 6 eller 7 holder du vilkårene i unntaket sammen. Etter de eksisterende beskyttelsene for administrasjon, usikre porter, CONNECT og lokale tjenester kan den relevante delen se slik ut:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Nettverket og vertsnavnet er plassholdere. Autentisering trenger fortsatt sin eksisterende hjelpekonfigurasjon. Dette er unntaksdelen av en tilgangspolicy, ikke en fullstendig proxy-konfigurasjon.

Den første linjen tillater de valgte klientene den destinasjonen uten å evaluere innloggings-ACL-en. Den neste tillater disse klientene andre steder bare etter autentisering. Tidligere brede tillatelser eller senere alternative stier kan endre resultatet, så les hele den ordnede policyen, inkludert inkluderte filer.

Ikke flytt unntaket over beskyttelsene for destinasjonsporten bare for å unngå en forespørsel. Et autorisert nettsted på en utilsiktet port er fortsatt en annen rute. Bestem også om den nøyaktige verten eller underdomenene skal kvalifisere i stedet for å legge til et unødvendig bredt suffiks.

Et vertsnavnunntak dekker destinasjonen som samsvarer, ikke hver avhengighet som siden laster. Omdirigeringer og tredjepartsressurser kan lovlig møte det vanlige innloggingskravet.

For vanlig HTTP kan en proxy bruke finere URL-informasjon der det passer. En vanlig HTTPS CONNECT-forespørsel avslører ikke sidens bane, så en regel om «bare én side» kan ikke utledes fra et tunnelunntak for hele verten.