Povoliť jednu destináciu Squid bez overovania proxy

Stránka monitorovania musí fungovať bez prihlásenia cez proxy. Zrejmé pravidlo je http_access allow status_site. Ak je umiestnené pred overovaním, môže výnimku udeliť aj klientom, ktorých ste nikdy nechceli obsluhovať.

Pri Squid 6 alebo 7 držte podmienky výnimky spolu. Po existujúcich ochranných opatreniach pre správu, nebezpečné porty, CONNECT a miestne služby môže príslušná časť vyzerať takto:

acl office_clients src 192.0.2.0/24
acl status_site dstdomain status.example.net
acl signed_in proxy_auth REQUIRED

http_access allow office_clients status_site
http_access allow office_clients signed_in
http_access deny all

Sieť a názov hostiteľa sú zástupné údaje. Overovanie stále potrebuje svoju existujúcu konfiguráciu pomocníka. Toto je výnimková časť pravidiel prístupu, nie úplná konfigurácia proxy.

Prvý riadok povoľuje vybraným klientom túto destináciu bez vyhodnotenia prihlasovacej ACL. Nasledujúci povoľuje týmto klientom inam až po overení. Skoršie široké povolenia alebo neskoršie alternatívne cesty môžu zmeniť výsledok, preto si prečítajte celé zoradené pravidlá vrátane vložených súborov.

Nepresúvajte výnimku nad ochranu cieľového portu len preto, aby ste sa vyhli výzve. Autorizovaná lokalita na nezamýšľanom porte je stále iná cesta. Tiež rozhodnite, či má kvalifikovať presný hostiteľ alebo jeho subdomény, namiesto pridávania zbytočne širokej prípony.

Výnimka pre názov hostiteľa pokrýva zodpovedajúcu destináciu, nie každú závislosť načítanú jej stránkou. Presmerovania a prostriedky tretích strán môžu legitímne naraziť na bežnú požiadavku na prihlásenie.

Pri obyčajnom HTTP môže proxy použiť presnejšie informácie o URL, ak je to vhodné. Bežná požiadavka HTTPS CONNECT neodhaľuje cestu stránky, takže pravidlo „iba jedna stránka“ nemožno odvodiť z výnimky tunela pre celého hostiteľa.