Squid sin PROXY-protokoll: stol på avsendaren før HTTP-tilgangskontrollane

Bruk proxy_protocol_access for å stole på reléet som leverer metadataa, ikkje for å velje tillatne nettstader. I Squid 5–7 køyrer kontrollen éin gong etter TCP-oppsettet på ein require-proxy-header-lyttar, før HTTP-førespurnadshovuda vert handsama:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Byt ut reléadressa i dømet og avgrens nettilgangen til denne lyttaren. På dette trinnet kontrollerer Squid den faktiske TCP-motparten før dei leverte metadataa vert godtekne. Etter godkjenning brukar han den påståtte klientadressa for dei seinare ACL-kontrollane og for logging. Å stole på eit relé ut frå klientadressa det hevdar, ville snu denne rekkjefølgja.

Hald http_access for dei seinare løyva for klientkjelde og mål. Godkjenning av metadata autoriserer ikkje tilgang til nettstader, og ein ACL for målområde kan ikkje svare på det tidlegare spørsmålet om avsendartillit.

Avsendar og mottakar må bli samde om ein støtta versjon av PROXY-protokollen. Ein vanleg HTTP-klient kan ikkje bruke denne lyttaren med obligatorisk prefiks som eit vanleg proxy-endepunkt. Trengst begge formene, bruk med vilje åtskilde endepunkt i staden for å duplisere same lyttaradresse og port.

Eit klarert relé kan påverke adressebasert autorisasjon gjennom klientidentiteten det leverer. Gi berre den tiltenkte mellomlekken denne moglegheita.