Squid 6-tilgangsregler for én klient-IP

Denne konfigurasjonen er for Squid 6.13, inkludert Debian 13-pakken. Bekreft installert versjon med squid -v: Squids direktivreferanse markerer http_access som utilgjengelig i versjon 8.

Velg adressene først

Lytteren trenger en adresse som er tildelt serveren. Klientregelen trenger kildeadressen Squid ser; det kan være et NAT-nettverks offentlige utgangsadresse i stedet for en bærbar datamaskins private adresse.

Erstatt dokumentasjonsadressene nedenfor. Klientbegrensningen er én adresse, uttrykt som /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Erstatt den aktuelle lytteren, ACL-definisjonene og tilgangsreglene i pakkekonfigurasjonen, men behold logg- og filsysteminnstillingene. Å legge disse reglene under en tidligere klienttillatelse kan omgå begrensningen. Gjentatte definisjoner av en liste-ACL kan også legge til verdier.

Slik går forespørsler gjennom reglene

De første avvisningene stopper uønskede målporter, administrasjonsforespørsler og lokale eller link-lokale mål. Den kjente klienten tillates etter disse kontrollene; alle andre forespørsler når den siste avvisningen. Målvern er fortsatt nødvendig fordi en tillatelsesliste for kilder alene ikke begrenser mål.

Begrens vertens eller nettverkets brannmur til den tiltenkte kilden før lytteren eksponeres. Binding velger hvor Squid godtar forbindelser; tilgangsregler bestemmer hvilke forespørsler det tillater.

sudo squid -k parse -f /etc/squid/squid.conf

Rett parsefeil før den administrerte tjenesten lastes på nytt. Test fra den tillatte klienten og en annen kontrollert kilde som skal avvises. Bekreft at målet bare mottar den godkjente forespørselen: en TCP-forbindelse alene beviser ikke tillatelse til videresending.