Требуйте и вход Squid, и правильный IP клиента

Правильный пароль — только половина этой политики: учетная запись должна работать и с одного одобренного адреса клиента. В Squid размещение обеих проверок в одном правиле доступа — это разница между таким требованием и двумя отдельными путями входа.

Предполагая, что аутентификация уже настроена, например настройка Squid 6.13 NCSA, основная политика такова:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Используйте источник, который Squid действительно получает; в примере — адрес из документации. Сохраните прежние защиты для небезопасных портов назначения, локальных служб и трафика CONNECT. Этот фрагмент показывает объединенное условие, а не полную конфигурацию слушателя.

Проверьте правила выше

Более раннее широкое разрешение может принять запрос раньше, чем он дойдет до нового условия. Справочник http_access описывает упорядоченное сопоставление. Прочитайте всю последовательность, включая подключенные файлы.

Одно разрешение для имени пользователя и другое для источника не требуют обоих. Любая строка может сработать независимо. Это другая политика.

ACL proxy_auth зависит от помощника аутентификации. Его определение — не способ создать пользователя или проверить пароль. Этот пример относится к явному прокси, клиенты которого могут отвечать на запросы аутентификации прокси.

У идентичности источника тоже есть пределы. Люди за одним NAT могут делить адрес, а перемещающийся ноутбук может менять адрес. Дополнительное условие сужает доступное сетевое расположение учетной записи; оно не идентифицирует физический компьютер надежно. Убедитесь, что это ограничение соответствует причине, по которой вы изначально добавили условие.