Združevanje myportname in src v Squidu z ločenimi ACL

Združite imenovani Squid listener z dovoljenim omrežjem odjemalcev, ne da bi v isti definiciji postavili dva tipa ACL.

Konfiguracija se na prvi pogled zdi verjetna:

acl team_a myportname 3128 src 198.51.100.0/24

Toda definicija ACL ima samo en tip. Tu je myportname tip; dodajanje besede src ne začne drugega preverjanja. Preostale besede pripadajo seznamu vrednosti prvega tipa. Ta vrstica ne izraža »tega listenerja in tega omrežja odjemalcev«.

Vsakemu pogoju dajte ime

Uporabite ime za poslušajoči socket in ločen ACL vira. Ta izsek uporablja dokumentacijske naslove, ki jih je treba zamenjati z naslovi, primernimi za uvedbo:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Pravilo dovoljenja postavite za obstoječe zaščite za nevarne ciljne vrata, omejene cilje CONNECT in skrbniški dostop. Izsek prikazuje pogoj odjemalec/listener; ne nadomešča teh zaščit.

Pogoji v eni vrstici http_access se združijo z AND. Dve ločeni vrstici dovoljenja bi spustili kateri koli pogoj neodvisno, kar bi znatno spremenilo politiko. Več vrednosti v enem ACL običajno ponuja alternative za to eno preverjanje.

Izhod izberite ločeno

Ustrezen listener lahko uporabi tudi tcp_outgoing_address za izbiro lokalnega izvornega naslova. To je izbira usmerjanja, ne dovoljenje za uporabo proxyja. Pravilo odhodnega naslova ne more spustiti zavrnjene zahteve skozi http_access.

Če konfiguracija z več naslovi po nadgradnji preneha delovati, ločite dokaze: napaka pri razčlenjevanju kaže na skladnjo konfiguracije; zavrnitev dostopa na ujemanje pravil; dovoljena zahteva z napačnim izhodom na izbiro izhoda ali poznejši NAT. Spreminjanje vseh treh hkrati naredi majhno napako ACL veliko težje najdljivo.

Sorodni članki