Reguły dostępu Squid 6 dla jednego IP klienta

Ta konfiguracja dotyczy Squid 6.13, w tym pakietu Debiana 13. Potwierdź zainstalowaną wersję poleceniem squid -v: dokumentacja dyrektyw Squid oznacza http_access jako niedostępną w wersji 8.

Najpierw wybierz adresy

Nasłuch potrzebuje adresu przypisanego serwerowi. Reguła klienta wymaga adresu źródłowego widzianego przez Squid, którym może być publiczny adres wyjściowy sieci NAT zamiast prywatnego adresu laptopa.

Zastąp poniższe adresy dokumentacyjne. Ograniczenie klienta to jeden adres zapisany jako /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Zastąp odpowiedni nasłuch, definicje ACL i reguły dostępu w konfiguracji pakietu, zachowując ustawienia logowania i systemu plików. Dopisanie tych reguł poniżej wcześniejszego zezwolenia klientowi może obejść ograniczenie. Powtarzane definicje listowej ACL mogą też dodawać wartości.

Jak żądania przechodzą przez reguły

Początkowe odmowy odrzucają niepożądane porty docelowe, żądania zarządzania oraz cele lokalne i link-local. Znany klient jest dopuszczany po tych kontrolach; pozostałe żądania trafiają do końcowej odmowy. Zabezpieczenia celów są nadal potrzebne, bo sama lista dozwolonych źródeł nie ogranicza celów.

Przed udostępnieniem nasłuchu ogranicz zaporę hosta lub sieci do zamierzonego źródła. Powiązanie określa, gdzie Squid przyjmuje połączenia; reguły dostępu określają, które żądania dopuszcza.

sudo squid -k parse -f /etc/squid/squid.conf

Napraw błędy parsowania przed przeładowaniem zarządzanej usługi. Testuj z dozwolonego klienta i drugiego kontrolowanego źródła, które powinno być odrzucone. Potwierdź, że cel otrzymuje tylko autoryzowane żądanie: samo połączenie TCP nie dowodzi uprawnienia do przekazywania.