Jedno pravidlo allow v Squide znamená AND; dve môžu znamenať OR

Prečítajte túto politiku nahlas: dovoľte kancelárskej sieti používať proxy pre schválený cieľ. Ak tieto podmienky patria k sebe, držte ich v pravidle spolu.

http_access allow office_clients approved_destination

Aby ten riadok požiadavku povolil, musia sa zhodovať obe ACL. Rozdelenie mení politiku:

http_access allow office_clients
http_access allow approved_destination

Kancelárski klienti teraz môžu byť povolení bez obmedzenia cieľa a požiadavky na tento cieľ bez kancelárskeho obmedzenia, ak ich skoršie pravidlo neodmietlo. Dva riadky nie sú čitateľnejším zápisom jedného riadku.

Poradie je súčasťou politiky

Squid vyhodnocuje pravidlá prístupu postupne. Prvé zodpovedajúce rozhodnutie riadi požiadavku. Skoršie allow all zneplatní starostlivé neskoršie obmedzenie; skoršie zodpovedajúce odmietnutie zabráni dosiahnuť neskoršie povolenie.

Dokumentácia http_access vysvetľuje toto poradie. Zachovajte zámerné záverečné odmietnutie namiesto spoliehania sa na to, že si čitateľ zapamätá implicitné predvolené správanie.

Mnohé definície ACL majú iný vzťah OR: jedna pomenovaná zdrojová ACL môže uvádzať niekoľko povolených rozsahov. To nerobí z identity zdroja a cieľa rovnaký typ ACL. Definujte ich oddelene a potom mená skombinujte v prístupovom rozhodnutí.

Pri súkromnom výstupe to ovplyvňuje, kto môže používať vašu vonkajšiu IP. Zvážte štyri prípady: schválený klient na schválený cieľ, schválený klient inam, iný klient na schválený cieľ a iný klient inam. Ak pravidlá povoľujú viac prípadov, než politika zamýšľa, opravte logiku pred rozšírením poslucháča. Syntakticky platná konfigurácia môže stále vyjadrovať nesprávne oprávnenia.