Squid 6-toegangsregels voor één client-IP

Beperk een Squid 6.13-forwardproxy tot een bekende client, behoud doelbeveiligingen en controleer de regelvolgorde vóór ingebruikname.

Deze configuratie is voor Squid 6.13, inclusief het pakket van Debian 13. Controleer de geïnstalleerde versie met squid -v: Squids richtlijnreferentie markeert http_access als niet beschikbaar in versie 8.

Kies eerst de adressen

De luisterdienst heeft een adres nodig dat aan de server is toegewezen. De clientregel heeft het bronadres nodig dat Squid waarneemt; dat kan het openbare uitgangsadres van een NAT-netwerk zijn in plaats van het privéadres van een laptop.

Vervang de onderstaande documentatieadressen. De clientbeperking is één adres, uitgedrukt als /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Vervang de bijbehorende luisterdienst, ACL-definities en toegangsregels in de pakketconfiguratie, maar behoud log- en bestandssysteeminstellingen. Deze regels onder een eerdere clienttoelating toevoegen kan de beperking omzeilen. Herhaalde definities van een lijst-ACL kunnen ook waarden toevoegen.

Hoe verzoeken de regels doorlopen

De eerste weigeringen blokkeren ongewenste doelpoorten, beheerverzoeken en lokale of link-local bestemmingen. De bekende client krijgt na die controles toegang; alle andere verzoeken bereiken de laatste weigering. Doelbeveiligingen blijven nodig omdat een lijst met toegestane bronnen alleen de bestemmingen niet beperkt.

Beperk de host- of netwerkfirewall tot de bedoelde bron voordat je de luisterdienst blootstelt. Binding bepaalt waar Squid verbindingen accepteert; toegangsregels bepalen welke verzoeken het toestaat.

sudo squid -k parse -f /etc/squid/squid.conf

Herstel parseerfouten voordat je de beheerde dienst herlaadt. Test vanaf de toegestane client en een tweede gecontroleerde bron die geweigerd moet worden. Controleer of het doel alleen het geautoriseerde verzoek ontvangt: een TCP-verbinding alleen bewijst geen toestemming om door te sturen.

Gerelateerde artikelen