Правила доступа Squid 6 для одного IP клиента

Ограничьте прямой прокси Squid 6.13 известным клиентом, сохраните защиту назначений и проверьте порядок правил перед внедрением.

Эта конфигурация предназначена для Squid 6.13, включая пакет Debian 13. Подтвердите установленную версию командой squid -v: справочник директив Squid отмечает http_access как недоступную в версии 8.

Сначала выберите адреса

Слушателю нужен адрес, назначенный серверу. Правилу клиента нужен исходный адрес, наблюдаемый Squid; им может быть публичный выходной адрес сети NAT, а не частный адрес ноутбука.

Замените документационные адреса ниже. Ограничение клиента — один адрес, выраженный как /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Замените соответствующий слушатель, определения ACL и правила доступа в конфигурации пакета, сохранив настройки журналирования и файловой системы. Добавление этих правил ниже более раннего разрешения клиенту может обойти ограничение. Повторные определения списочной ACL также могут добавлять значения.

Как запросы проходят правила

Начальные запреты отклоняют нежелательные порты назначения, запросы управления и локальные или link-local назначения. Известный клиент допускается после этих проверок; все остальные запросы доходят до конечного запрета. Защита назначений остаётся необходимой, потому что один список разрешённых источников не ограничивает назначения.

До открытия слушателя ограничьте межсетевой экран хоста или сети предполагаемым источником. Привязка выбирает, где Squid принимает соединения; правила доступа определяют, какие запросы он допускает.

sudo squid -k parse -f /etc/squid/squid.conf

Исправьте ошибки разбора перед перечитыванием конфигурации управляемого сервиса. Проверьте с разрешённого клиента и второго контролируемого источника, который должен быть отклонён. Подтвердите, что цель получает только авторизованный запрос: одно TCP-соединение не доказывает разрешение на пересылку.

Похожие статьи