Vyžadujte prihlásenie Squid aj správnu IP adresu klienta

Obmedzte pomenovaného používateľa Squid na schválenú zdrojovú adresu tým, že vyžadujete obe podmienky ACL.

Správne heslo je len polovica tejto politiky: účet by mal fungovať aj z jednej schválenej adresy klienta. V Squide je umiestnenie oboch kontrol do toho istého pravidla prístupu rozdielom medzi touto požiadavkou a dvoma samostatnými cestami dovnútra.

Za predpokladu, že autentifikácia je už nastavená, napríklad NCSA nastavenie Squid 6.13, je základná politika táto:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Použite zdroj, ktorý Squid skutočne prijíma; vzorka je dokumentačná adresa. Zachovajte predchádzajúce ochrany pre nebezpečné cieľové porty, miestne služby a prevádzku CONNECT. Tento fragment ukazuje kombinovanú podmienku, nie úplnú konfiguráciu počúvajúceho rozhrania.

Skontrolujte pravidlá nad ním

Skoršie široké povolenie môže požiadavku prijať skôr, než sa dostane k novej podmienke. Referencia http_access opisuje usporiadané porovnávanie. Prečítajte si celú sekvenciu vrátane vložených súborov.

Jedno povolenie pre používateľské meno a druhé pre zdroj nevyžadujú obe. Ktorýkoľvek riadok môže uspieť samostatne. To je iná politika.

ACL proxy_auth závisí od pomocníka autentifikácie. Jeho definovanie nie je spôsob, ako vytvoriť používateľa alebo overiť heslo. Tento príklad je pre explicitný proxy, ktorého klienti môžu reagovať na výzvy na autentifikáciu proxy.

Identita zdroja má tiež limity. Ľudia za jedným NAT môžu zdieľať adresu a pohybujúci sa notebook môže meniť adresy. Dodatočná podmienka zužuje použiteľnú sieťovú polohu účtu; spoľahlivo neidentifikuje fyzický počítač. Uistite sa, že toto obmedzenie zodpovedá dôvodu, prečo ste podmienku pôvodne pridali.

Súvisiace články