Filtry celu Tinyproxy, ACL klientów i porty CONNECT

Używaj filtrów celu Tinyproxy do ograniczania nazw hostów i odróżniaj je od reguł sterujących klientami źródłowymi lub portami CONNECT.

Wiersz Allow w Tinyproxy odpowiada na pytanie, kto może korzystać z proxy. Nie oznacza, że ci klienci mogą dotrzeć tylko do hosta tam zapisanego. Filtrowanie celu to osobne ustawienie.

Dla proxy przeznaczonego do osiągania jednej nazwanej usługi filtr może działać jako lista dozwolonych:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Plik zawiera wtedy wzorce celu dozwolone przez wybraną składnię filtra. Zachowaj wąski wzorzec dokładnego hosta i sprawdź skonfigurowany FilterType, zanim wybierzesz kotwice wyrażeń regularnych lub składnię symboli wieloznacznych. Wzorzec napisany dla jednego trybu może w innym znaczyć coś innego.

Istnieją trzy różne mechanizmy kontroli

  • Reguły Allow/Deny klienta ograniczają klientów źródłowych.
  • Filtrowanie celu ogranicza żądany host lub URL.
  • ConnectPort ogranicza docelowe porty CONNECT.

Podręcznik Tinyproxy opisuje je osobno. Filtr celu nie dodaje uwierzytelniania proxy, a zezwolenie na port nie ogranicza żądań do jednej nazwy hosta.

W przypadku HTTPS przez zwykły tunel pracuj z hostem docelowym. Zaszyfrowana ścieżka żądania nie jest dostępna jako zwykły tekst widoczny dla proxy, więc nie należy zakładać, że wyrażenie ścieżki działające dla czystego HTTP sprawdza ścieżki stron HTTPS.

Weź też pod uwagę zależności witryny. Jedna strona może pobierać obrazy lub uwierzytelniać się przez inne hosty. Dodawaj tylko naprawdę potrzebne cele; zamiana reguły dokładnego hosta na szeroki sufiks, aby naprawić jeden brakujący obraz, może zezwolić na znacznie więcej ruchu. Utrzymuj listę na tyle zrozumiałą, by każde dozwolone miejsce docelowe miało powód.

Powiązane artykuły