Pravila dostopa Squid 6 za en IP odjemalca

Ta konfiguracija je za Squid 6.13, vključno s paketom Debiana 13. Nameščeno različico potrdite z squid -v: referenca direktiv Squid označuje http_access kot nedostopno v različici 8.

Najprej izberite naslove

Poslušalec potrebuje naslov, dodeljen strežniku. Pravilo odjemalca potrebuje izvorni naslov, ki ga vidi Squid; to je lahko javni izhodni naslov omrežja NAT, ne zasebni naslov prenosnika.

Zamenjajte spodnje dokumentacijske naslove. Omejitev odjemalca je en naslov, izražen kot /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Zamenjajte ustreznega poslušalca, definicije ACL in pravila dostopa v konfiguraciji paketa, pri tem ohranite beleženje in nastavitve datotečnega sistema. Dodajanje teh pravil pod prejšnje dovoljenje odjemalcu lahko obide omejitev. Ponavljajoče se definicije seznamske ACL lahko tudi dodajajo vrednosti.

Kako zahteve prehajajo skozi pravila

Začetne zavrnitve blokirajo neželena ciljna vrata, upravljavske zahteve ter lokalne in povezavno lokalne cilje. Znani odjemalec je dovoljen po teh preverjanjih; vse druge zahteve dosežejo končno zavrnitev. Zaščita ciljev ostaja potrebna, ker sam seznam dovoljenih virov ne omejuje ciljev.

Pred izpostavitvijo poslušalca omejite požarni zid gostitelja ali omrežja na predvideni vir. Vezava določa, kje Squid sprejema povezave; pravila dostopa določajo, katere zahteve dovoli.

sudo squid -k parse -f /etc/squid/squid.conf

Pred ponovnim nalaganjem upravljane storitve popravite napake razčlenjevanja. Testirajte iz dovoljenega odjemalca in drugega nadzorovanega vira, ki bi moral biti zavrnjen. Potrdite, da cilj prejme le pooblaščeno zahtevo: sama povezava TCP ne dokazuje dovoljenja za posredovanje.