Protokolli PROXY i Squid: besoni dërguesit përpara kontrolleve të aksesit HTTP

Përdorni proxy_protocol_access për t'i besuar relays që furnizon metadata, jo për të zgjedhur faqet e lejuara. Në Squid 5–7 kontrolli ekzekutohet një herë pas vendosjes së TCP-së në një dëgjues require-proxy-header, përpara se titujt e kërkesës HTTP të përpunohen:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Zëvendësoni adresën e relays në shembull dhe kufizoni aksesin në rrjet për këtë dëgjues. Në këtë fazë Squid kontrollon palën reale TCP përpara se të pranojë metadata e furnizuara. Pas pranimit, ai përdor adresën e klientit të pretenduar për kontrollet ACL dhe regjistrimin e mëvonshëm. Besimi te një relays bazuar në adresën e klientit që pretendon do ta përmbysë atë rend.

Mbani http_access për lejet e mëvonshme të burimit të klientit dhe destinacionit. Pranimi i metadata nuk autorizon aksesin në faqet e internetit, dhe një ACL i domenit të destinacionit nuk mund t'i përgjigjet pyetjes së mëparshme për besimin te dërguesi.

Dërguesi dhe marrësi duhet të bien dakord për një version të mbështetur të protokollit PROXY. Një klient HTTP i thjeshtë nuk mund ta përdorë këtë dëgjues me parashtesë të detyrueshme si pikë e zakonshme fundore e proxy-t. Nëse nevojiten të dyja format, përdorni qëllimisht pika fundore të ndara, në vend që të dyfishoni të njëjtën adresë dëgjimi dhe port.

Një relays i besuar mund të ndikojë në autorizimin e bazuar në adresë përmes identitetit të klientit që furnizon. Jepni atë aftësi vetëm ndërmjetësit të synuar.