Squid PROXY protokol: vjerujte pošiljaocu prije HTTP provjera pristupa

Upotrijebite proxy_protocol_access da vjerujete releju koji dostavlja metapodatke, a ne da birate dopuštene web stranice. U Squidu 5–7 provjera se izvršava jednom nakon uspostave TCP-a na slušaču require-proxy-header, prije obrade zaglavlja HTTP zahtjeva:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Zamijenite primjer adrese releja i ograničite mrežni pristup na ovaj slušač. U ovoj fazi Squid provjerava stvarnog TCP partnera prije prihvaćanja dostavljenih metapodataka. Nakon prihvaćanja koristi navedenu adresu klijenta za kasnije ACL provjere i zapisivanje. Povjerenje releju na temelju adrese klijenta koju navodi obrnulo bi taj poredak.

Zadržite http_access za kasnije dozvole izvora klijenta i odredišta. Prihvaćanje metapodataka ne autorizira pristup web stranicama, a ACL odredišne domene ne može odgovoriti na ranije pitanje povjerenja u pošiljatelja.

Pošiljatelj i primatelj moraju se dogovoriti o podržanoj verziji PROXY protokola. Običan HTTP klijent ne može koristiti ovaj slušač s obveznim prefiksom kao uobičajenu proxy završnu točku. Ako su potrebna oba oblika, koristite namjerno odvojene završne točke umjesto dupliciranja iste adrese slušanja i porta.

Pouzdan relej može utjecati na autorizaciju temeljenu na adresi kroz identitet klijenta koji dostavlja. Dodijelite tu mogućnost samo predviđenom posredniku.