Dozvoli jednu Squid destinaciju bez proxy autentifikacije

Zadržite ograničenja izvora i odredišta oko namjernog izuzetka autentifikacije u Squidu.

Stranica za nadzor mora raditi bez prijave na proxy. Očigledno pravilo je http_access allow status_site. Postavljeno prije autentifikacije, može dati izuzetak i klijentima koje nikada niste namjeravali opsluživati.

Za Squid 6 ili 7 držite uslove izuzetka zajedno. Nakon postojećih zaštita za upravljanje, nesigurne portove, CONNECT i lokalne usluge, relevantni dio može izgledati ovako:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Mreža i ime hosta su zamjenske vrijednosti. Autentifikacija i dalje zahtijeva postojeću konfiguraciju pomoćnika. Ovo je dio izuzetka u politici pristupa, ne potpuna proxy konfiguracija.

Prvi red dozvoljava odabranim klijentima tu destinaciju bez ocjenjivanja ACL-a za prijavu. Sljedeći dozvoljava tim klijentima drugdje samo nakon autentifikacije. Ranija široka odobrenja ili kasnije alternativne putanje mogu promijeniti rezultat, pa pročitajte kompletnu uređenu politiku, uključujući uključene datoteke.

Ne pomjerajte izuzetak iznad zaštita odredišnog porta samo da biste izbjegli upit. Ovlaštena stranica na nenamjernom portu i dalje je druga ruta. Također odlučite da li točan host ili njegove poddomene treba da kvalificiraju umjesto dodavanja nepotrebno širokog sufiksa.

Izuzetak za ime hosta pokriva odgovarajuće odredište, ne svaku zavisnost koju učitava njegova stranica. Preusmjeravanja i resursi trećih strana mogu legitimno naići na uobičajeni zahtjev za prijavu.

Za obični HTTP proxy može koristiti preciznije URL informacije gdje je prikladno. Običan HTTPS CONNECT zahtjev ne otkriva putanju stranice, pa se pravilo „samo jedna stranica“ ne može izvesti iz izuzetka tunela za cijeli host.

Povezani članci