Разрешить одно назначение Squid без аутентификации прокси

Страница мониторинга должна работать без входа через прокси. Очевидное правило — http_access allow status_site. Если разместить его до аутентификации, оно может также предоставить исключение клиентам, которых вы никогда не собирались обслуживать.

Для Squid 6 или 7 держите условия исключения вместе. После существующих мер защиты для управления, небезопасных портов, CONNECT и локальных служб соответствующая часть может выглядеть так:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Сеть и имя хоста — это заполнители. Аутентификации по-прежнему нужна её существующая конфигурация помощника. Это часть исключения в политике доступа, а не полная конфигурация прокси.

Первая строка разрешает выбранным клиентам это назначение без оценки ACL входа. Следующая разрешает этим клиентам другие места только после аутентификации. Более ранние широкие разрешения или последующие альтернативные пути могут изменить результат, поэтому читайте всю упорядоченную политику, включая подключённые файлы.

Не перемещайте исключение выше защиты порта назначения только чтобы избежать запроса. Авторизованный сайт на непредусмотренном порту всё равно остаётся другим маршрутом. Также решите, должны ли квалифицироваться точный хост или его поддомены, вместо добавления излишне широкого суффикса.

Исключение для имени хоста охватывает соответствующее назначение, а не каждую зависимость, загружаемую его страницей. Перенаправления и сторонние ресурсы могут законно столкнуться с обычным требованием входа.

Для простого HTTP прокси может использовать более точную информацию об URL, где это уместно. Обычный запрос HTTPS CONNECT не раскрывает путь страницы, поэтому правило «только одна страница» нельзя вывести из исключения туннеля для всего хоста.