Tinyproxy-bestemmingsfilters, client-ACL's en CONNECT-poorten

Gebruik Tinyproxy-bestemmingsfilters voor hostnaambeperkingen, en onderscheid ze van regels die bronclients of CONNECT-poorten beheren.

Een Allow-regel in Tinyproxy beantwoordt wie de proxy mag gebruiken. Het betekent niet dat die clients alleen de daar genoemde host kunnen bereiken. Bestemmingsfiltering is een aparte instelling.

Voor een proxy die één genoemde dienst moet bereiken, kan het filter als toelatingslijst dienen:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Het bestand bevat dan de bestemmingspatronen die door de gekozen filtersyntaxis zijn toegestaan. Houd een smal exact-hostpatroon aan en controleer de geconfigureerde FilterType voordat u ankers voor reguliere expressies of wildcardsyntaxis kiest. Een patroon dat voor de ene modus is geschreven, kan in een andere iets anders betekenen.

Er zijn drie verschillende controles

  • Clientregels Allow/Deny beperken bronclients.
  • Bestemmingsfiltering beperkt de opgevraagde host of URL.
  • ConnectPort beperkt CONNECT-bestemmingspoorten.

De Tinyproxy-handleiding documenteert deze afzonderlijk. Een bestemmingsfilter voegt geen proxyauthenticatie toe, en een poorttoestemming beperkt verzoeken niet tot één hostnaam.

Werk voor HTTPS via een normale tunnel met de bestemmingshost. Het versleutelde aanvraagpad is niet beschikbaar als gewone, voor de proxy zichtbare tekst, dus van een padexpressie die voor gewone HTTP werkt, mag niet worden aangenomen dat die HTTPS-pagina paden inspecteert.

Houd ook rekening met de afhankelijkheden van de site. Eén pagina kan afbeeldingen ophalen of via andere hosts authenticeren. Voeg alleen de echt benodigde bestemmingen toe; een exacte hostregel omzetten in een breed achtervoegsel om één ontbrekende afbeelding te repareren kan veel meer verkeer toestaan. Houd de lijst begrijpelijk genoeg dat elke toegestane bestemming een reden heeft.

Gerelateerde artikelen