Tinyproxy-destinasjonsfilter, klient-ACL-ar og CONNECT-portar

Bruk Tinyproxy-destinasjonsfilter for vertsnamnavgrensingar, og skil dei frå reglar som styrer kjeldeklientar eller CONNECT-portar.

Ei Allow-linje i Tinyproxy svarar på kven som kan bruke proxya. Det tyder ikkje at desse klientane berre kan nå verten som står skriven der. Destinasjonsfiltrering er ei eiga innstilling.

For ei proxy som er meint å nå éin namngjeven teneste, kan filteret fungera som ei tillatingsliste:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Fila inneheld då destinasjonsmønstra som er tillatne av filtesyntaksen du valde. Hald eit smalt, nøyaktig vertsmønster, og kontroller den konfigurerte FilterType før du vel anker for regulære uttrykk eller jokerteiknsyntaks. Eit mønster skrive for éin modus kan tyde noko anna i ein annan.

Det finst tre ulike kontrollar

  • Klientreglane Allow/Deny avgrensar kjeldeklientar.
  • Destinasjonsfiltrering avgrensar den førespurde verten eller URL-en.
  • ConnectPort avgrensar CONNECT-destinasjonsportar.

Tinyproxy-manualen dokumenterer desse kvar for seg. Eit destinasjonsfilter legg ikkje til proxyautentisering, og ei porttillating avgrensar ikkje førespurnader til eitt vertsnamn.

For HTTPS gjennom ein vanleg tunnel, arbeid med destinasjonsverten. Den krypterte førespurnadsstien er ikkje tilgjengeleg som vanleg proxysynleg tekst, så eit stiuttrykk som verkar for klartekst-HTTP, bør ikkje ein gå ut frå inspiserer stiar på HTTPS-sider.

Tenk òg på avhengnadene til nettstaden. Éi side kan hente bilete eller autentisere via andre vertar. Legg berre til destinasjonane som faktisk trengst; å gjere ein nøyaktig vertsregel om til eit breitt suffiks for å rette eitt manglande bilete kan tillate mykje meir trafikk. Hald lista forståeleg nok til at kvar tillaten destinasjon har ein grunn.

Relaterte artiklar