Tilgangsregler i Squid 6 for én klient-IP

Oppsettet gjelder Squid 6.13, også pakken i Debian 13. Kontroller versjonen som er installert med squid -v: Squids direktivoversikt oppgir at http_access ikke finnes i versjon 8.

Velg først adressene

Lyttepunktet må ha en adresse som er tilordnet serveren. Klientregelen må bruke kildeadressen Squid observerer, som kan være NAT-nettverkets offentlige utgangsadresse fremfor laptopens private adresse.

Bytt ut dokumentasjonsadressene under. Klientavgrensningen gjelder én adresse, skrevet som /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Bytt ut tilhørende lyttepunkt, ACL-definisjoner og tilgangsregler i pakkeoppsettet, men la innstillingene for logging og filsystem stå. Legges reglene etter en tidligere regel som tillater klienten, kan begrensningen omgås. Gjentatte definisjoner av en liste-ACL kan også tilføye verdier.

Hvordan forespørslene passerer reglene

De første nektelsene avviser uønskede målporter, administrasjonsforespørsler samt lokale og link-lokale mål. Den kjente klienten tillates etter kontrollene; alle andre forespørsler treffer siste nektelse. Målbeskyttelsen trengs fremdeles, siden tillatte kilder alene ikke begrenser destinasjonene.

Før lyttepunktet åpnes, begrens verts- eller nettverksbrannmuren til den planlagte kilden. Binding avgjør hvor Squid tar imot forbindelser, mens tilgangsreglene bestemmer hvilke forespørsler som er tillatt.

sudo squid -k parse -f /etc/squid/squid.conf

Fiks tolkningsfeil før den administrerte tjenesten lastes inn igjen. Test fra den tillatte klienten og en annen kilde under egen kontroll som skal nektes. Sjekk at målet bare får den autoriserte forespørselen: TCP-tilkobling alene fastslår ikke rett til videresending.