Permitir um destino do Squid sem autenticação do proxy

Uma página de monitoramento precisa funcionar sem login no proxy. A regra óbvia é http_access allow status_site. Colocada antes da autenticação, ela também pode conceder a exceção a clientes que você nunca pretendeu atender.

Para Squid 6 ou 7, mantenha as condições da exceção juntas. Depois das proteções existentes de gestão, portas inseguras, CONNECT e serviços locais, a parte relevante pode ficar assim:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

A rede e o nome do host são marcadores de posição. A autenticação ainda precisa da configuração de auxiliar existente. Esta é a parte da exceção de uma política de acesso, não uma configuração completa de proxy.

A primeira linha permite aos clientes selecionados esse destino sem avaliar a ACL de login. A seguinte permite a esses clientes outros lugares somente após a autenticação. Autorizações amplas anteriores ou caminhos alternativos posteriores podem mudar o resultado, então leia a política ordenada completa, incluindo os arquivos incluídos.

Não mova a exceção acima das proteções da porta de destino apenas para evitar um prompt. Um site autorizado em uma porta não intencional ainda é uma rota diferente. Decida também se o host exato ou seus subdomínios devem se qualificar em vez de adicionar um sufixo desnecessariamente amplo.

Uma exceção de nome de host cobre o destino correspondente, não cada dependência carregada por sua página. Redirecionamentos e recursos de terceiros podem legitimamente encontrar o requisito normal de login.

Para HTTP simples, um proxy pode usar informações de URL mais refinadas quando apropriado. Uma solicitação HTTPS CONNECT comum não expõe o caminho da página, então uma regra de «apenas uma página» não pode ser inferida de uma exceção de túnel para todo o host.