Фильтры назначения Tinyproxy, ACL клиентов и порты CONNECT

Используйте фильтры назначения Tinyproxy для ограничения имён хостов и отличайте их от правил, управляющих клиентами-источниками или портами CONNECT.

Строка Allow в Tinyproxy отвечает на вопрос, кому можно пользоваться прокси. Это не значит, что эти клиенты могут обращаться только к хосту, записанному там. Фильтрация назначения — отдельная настройка.

Для прокси, предназначенного для доступа к одной именованной службе, фильтр может работать как список разрешённых:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Затем файл содержит шаблоны назначения, разрешённые выбранным синтаксисом фильтра. Держите узкий шаблон точного хоста и проверьте настроенный FilterType, прежде чем выбирать якоря регулярных выражений или синтаксис с подстановочными знаками. Шаблон, написанный для одного режима, в другом может означать иное.

Есть три разных механизма контроля

  • Правила Allow/Deny для клиентов ограничивают клиентов-источники.
  • Фильтрация назначения ограничивает запрашиваемый хост или URL.
  • ConnectPort ограничивает порты назначения CONNECT.

Руководство Tinyproxy описывает их по отдельности. Фильтр назначения не добавляет аутентификацию прокси, а разрешение порта не ограничивает запросы одним именем хоста.

Для HTTPS через обычный туннель работайте с хостом назначения. Зашифрованный путь запроса недоступен как обычный текст, видимый прокси, поэтому нельзя предполагать, что выражение пути, работающее для открытого HTTP, проверяет пути страниц HTTPS.

Учитывайте и зависимости сайта. Одна страница может загружать изображения или аутентифицироваться через другие хосты. Добавляйте только действительно необходимые назначения; превращение правила точного хоста в широкий суффикс ради одного недостающего изображения может разрешить гораздо больше трафика. Держите список достаточно понятным, чтобы у каждого разрешённого назначения была причина.

Похожие статьи