Kombinimi i myportname dhe src në Squid me ACL të veçanta

Konfigurimi duket i besueshëm në shikim të parë:

acl team_a myportname 3128 src 198.51.100.0/24

Por një përkufizim ACL ka vetëm një lloj. Këtu myportname është lloji; shtimi i fjalës src nuk nis një test të dytë. Fjalët e mbetura i përkasin listës së vlerave të llojit të parë. Ai rresht nuk shpreh «ky listener dhe ky rrjet klientësh».

Jepini një emër çdo kushti

Përdorni një emër për socket-in e dëgjimit dhe një ACL burimi të veçantë. Ky fragment përdor adresa dokumentacioni, të cilat duhet të zëvendësohen me adresa të përshtatshme për vendosjen:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

Vendosni rregullin e lejimit pas mbrojtjeve ekzistuese për portat e destinacionit të pasigurt, objektivat CONNECT të kufizuara dhe aksesin administrativ. Fragmenti ilustron kushtin klient/listener; nuk i zëvendëson ato mbrojtje.

Kushtet në një rresht http_access kombinohen me AND. Dy rreshta lejimi të veçantë do të kalonin secilin kusht në mënyrë të pavarur, gjë që do të ndryshonte ndjeshëm politikën. Disa vlera brenda një ACL zakonisht ofrojnë alternativa për atë test të vetëm.

Zgjidhni daljen veçmas

Një listener që përputhet mund të përdoret edhe nga tcp_outgoing_address për të zgjedhur një adresë burimi lokale. Kjo është zgjedhje rrugëtimi, jo leje për të përdorur proxy-n. Një rregull adrese dalëse nuk mund ta kalojë një kërkesë të refuzuar përmes http_access.

Nëse një konfigurim me shumë adresa ndalon së punuari pas një përditësimi, ndani provat: një gabim analize tregon sintaksën e konfigurimit; një refuzim aksesi tregon përputhjen e rregullave; një kërkesë e lejuar me dalje të gabuar tregon zgjedhjen e daljes ose një NAT të mëvonshëm. Ndryshimi i të treve njëherësh e bën një gabim të vogël ACL shumë më të vështirë për t’u gjetur.