Regras de acesso do Squid 6 para um IP de cliente

Restrinja um proxy direto Squid 6.13 a um cliente conhecido, mantenha as proteções de destino e confira a ordem das regras antes de implantar.

Esta configuração se destina ao Squid 6.13, incluindo o pacote do Debian 13. Confirme a versão instalada com squid -v: a referência de diretivas do Squid marca http_access como indisponível na versão 8.

Escolha os endereços primeiro

O listener precisa de um endereço atribuído ao servidor. A regra do cliente precisa do endereço de origem observado pelo Squid, que pode ser a saída pública de uma rede NAT, e não o endereço privado de um notebook.

Substitua os endereços de documentação abaixo. A restrição de cliente é um único endereço expresso como /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Substitua o listener, as definições ACL e as regras de acesso correspondentes na configuração do pacote, mantendo as opções de log e sistema de arquivos. Adicionar essas regras abaixo de uma permissão anterior ao cliente pode contornar a restrição. Definições repetidas de uma ACL de lista também podem acrescentar valores.

Como as requisições passam pelas regras

As negações iniciais rejeitam portas de destino indesejadas, requisições de administração e destinos locais ou link-local. O cliente conhecido é permitido depois dessas verificações; todas as outras requisições chegam à negação final. As proteções de destino continuam necessárias porque uma lista de origens permitidas sozinha não restringe destinos.

Restrinja o firewall do host ou da rede à origem pretendida antes de expor o listener. O vínculo determina onde o Squid aceita conexões; as regras de acesso determinam quais requisições ele permite.

sudo squid -k parse -f /etc/squid/squid.conf

Corrija erros de análise antes de recarregar o serviço gerenciado. Teste a partir do cliente permitido e de uma segunda origem controlada que deve ser negada. Confirme que o destino recebe apenas a requisição autorizada: uma conexão TCP sozinha não comprova permissão de encaminhamento.

Artigos relacionados