Vereis zowel een Squid-login als het juiste client-IP

Een correct wachtwoord is slechts de helft van dit beleid: het account moet ook vanaf één goedgekeurd clientadres werken. In Squid is het verschil tussen die eis en twee afzonderlijke ingangen dat beide controles op dezelfde toegangsregel staan.

Ervan uitgaande dat authenticatie al is geconfigureerd, zoals een Squid 6.13 NCSA-instelling, is het kernbeleid:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Gebruik de bron die Squid daadwerkelijk ontvangt; het voorbeeld is een documentatieadres. Behoud eerdere beschermingen voor onveilige bestemmingspoorten, lokale diensten en CONNECT-verkeer. Dit fragment toont de gecombineerde voorwaarde, niet een volledige listenerconfiguratie.

Controleer de regels erboven

Een eerdere brede toestemming kan het verzoek accepteren voordat het de nieuwe voorwaarde bereikt. De http_access-referentie beschrijft geordende overeenkomst. Lees de volledige volgorde, inclusief inbegrepen bestanden.

Eén toestemming voor de gebruikersnaam en een andere voor de bron vereisen niet beide. Elke regel kan zelfstandig slagen. Dat is een ander beleid.

De proxy_auth-ACL is afhankelijk van een authenticatiehelper. Het definiëren ervan is niet hoe je de gebruiker aanmaakt of het wachtwoord valideert. Dit voorbeeld is voor een expliciete proxy waarvan de clients op proxy-authenticatie-uitdagingen kunnen reageren.

Bronidentiteit heeft ook grenzen. Mensen achter één NAT kunnen een adres delen, en een bewegende laptop kan van adres veranderen. De extra voorwaarde vernauwt de bruikbare netwerklocatie van het account; het identificeert niet betrouwbaar een fysieke computer. Zorg ervoor dat die beperking past bij de reden waarom je de voorwaarde oorspronkelijk hebt toegevoegd.