Sameina myportname og src i Squid med skilde ACL-ar

Oppsettet ser ved fyrste augekast truverdig ut:

acl team_a myportname 3128 src 198.51.100.0/24

Men ein ACL-definisjon har berre éin type. Her er myportname typen; å leggje til ordet src startar ikkje ei ny prøve. Dei andre orda høyrer til verdilista for den fyrste typen. Den lina uttrykkjer ikkje «denne lyttaren og dette klientnettverket».

Gje kvar vilkår eit namn

Bruk eit namn for lyttesokken og ein eigen kjelde-ACL. Dette utdraget brukar dokumentasjonsadresser, som må bytast ut med adresser som høver for utrullinga:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Set tillatingsregelen etter dei eksisterande vernene for utrygge målportar, avgrensa CONNECT-mål og administrasjonstilgang. Utdraget syner klient/lyttar-vilkåret; det erstattar ikkje desse vernene.

Vilkår på éi http_access-line vert kombinerte med AND. To skilde tillatingsliner ville sleppe gjennom kvart vilkår sjølvstendig, noko som ville endre politikken monaleg. Fleire verdiar i éin ACL gjev vanlegvis alternativ for den eine prøva.

Vel utgangen skilt

Ein samsvarande lyttar kan òg nyttast av tcp_outgoing_address til å velje ei lokal kjeldeadresse. Det er ruterval, ikkje løyve til å bruke proxyen. Ei regel for utgåande adresse kan ikkje få ein avvist førespurnad gjennom http_access.

Om eit oppsett med fleire adresser sluttar å verke etter ei oppgradering, skil provet: ein tolkefeil peikar på syntaksen i oppsettet; eit tilgangsavslag peikar på regeljamføringa; ein tillaten førespurnad med feil utgang peikar på utgangsval eller seinare NAT. Å endre alle tre samstundes gjer ein liten ACL-feil mykje vanskelegare å finne.