Squid 6-tilgangsreglar for éin klient-IP

Avgrens ein Squid 6.13-framoverproxy til ein kjend klient, hald på målvernet og kontroller rekkjefølgja på reglane før bruk.

Denne konfigurasjonen er for Squid 6.13, inkludert Debian 13-pakken. Stadfest installert versjon med squid -v: Squid si direktivreferanse markerer http_access som utilgjengeleg i versjon 8.

Vel adressene først

Lyttaren treng ei adresse som er tildelt tenaren. Klientregelen treng kjeldeadressa Squid ser; det kan vere den offentlege utgangsadressa til eit NAT-nettverk i staden for den private adressa til ei berbar maskin.

Erstatt dokumentasjonsadressene nedanfor. Klientavgrensinga er éi adresse, uttrykt som /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Erstatt den aktuelle lyttaren, ACL-definisjonane og tilgangsreglane i pakkekonfigurasjonen, men hald på logg- og filsysteminnstillingane. Å leggje desse reglane under eit tidlegare klientløyve kan omgå avgrensinga. Gjentekne definisjonar av ein liste-ACL kan òg leggje til verdiar.

Slik går førespurnader gjennom reglane

Dei første avvisingane stoppar uønskte målportar, administrasjonsførespurnader og lokale eller lenkjelokale mål. Den kjende klienten vert tillaten etter desse kontrollane; alle andre førespurnader når den siste avvisinga. Målvernet trengst framleis fordi ei tillatingsliste for kjelder åleine ikkje avgrensar mål.

Avgrens brannmuren til verten eller nettverket til den tiltenkte kjelda før lyttaren vert eksponert. Binding vel kvar Squid tek imot samband; tilgangsreglar avgjer kva førespurnader det tillèt.

sudo squid -k parse -f /etc/squid/squid.conf

Rett parsefeil før den administrerte tenesta vert lasta på nytt. Test frå den tillatne klienten og ei anna kontrollert kjelde som skal avvisast. Stadfest at målet berre tek imot den godkjende førespurnaden: eit TCP-samband åleine provar ikkje løyve til vidaresending.

Relaterte artiklar