Pravidlá prístupu Squid 6 pre jednu IP klienta

Táto konfigurácia je určená pre Squid 6.13 vrátane balíka Debianu 13. Nainštalovanú verziu overte pomocou squid -v: referencia direktív Squid uvádza http_access ako nedostupné vo verzii 8.

Najprv vyberte adresy

Počúvajúca služba potrebuje adresu pridelenú serveru. Pravidlo klienta potrebuje zdrojovú adresu, ktorú vidí Squid; môže ísť o verejnú výstupnú adresu siete NAT, nie súkromnú adresu notebooku.

Nahraďte nasledujúce dokumentačné adresy. Obmedzenie klienta je jedna adresa vyjadrená ako /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

V konfigurácii balíka nahraďte príslušný listener, definície ACL a prístupové pravidlá, ale zachovajte nastavenia protokolovania a súborového systému. Pridanie pravidiel pod skoršie povolenie klienta môže obmedzenie obísť. Opakované definície zoznamovej ACL môžu tiež pridávať hodnoty.

Ako požiadavky prechádzajú pravidlami

Úvodné zákazy odmietajú nežiaduce cieľové porty, správcovské požiadavky a miestne či link-local ciele. Známy klient je povolený po týchto kontrolách; ostatné požiadavky dôjdu ku konečnému zákazu. Ochrana cieľov zostáva nutná, pretože samotný zoznam povolených zdrojov ciele neobmedzuje.

Pred sprístupnením služby obmedzte firewall hostiteľa alebo siete na zamýšľaný zdroj. Väzba určuje, kde Squid prijíma spojenia; prístupové pravidlá určujú, ktoré požiadavky povolí.

sudo squid -k parse -f /etc/squid/squid.conf

Pred opätovným načítaním spravovanej služby opravte chyby parsovania. Testujte z povoleného klienta a druhého kontrolovaného zdroja, ktorý má byť odmietnutý. Overte, že cieľ dostane len autorizovanú požiadavku: samotné TCP spojenie nedokazuje povolenie preposielania.