Squid PROXY протокол: верујте пошиљаоцу пре HTTP провера приступа

Држите провере пошиљаоца PROXY протокола у Squid-у одвојено од ауторизације одредишне домене и клијентског захтева.

Користите proxy_protocol_access да верујете релеју који доставља метаподатке, а не да бирате дозвољене веб локације. У Squid-у 5–7 провера се извршава једном након успостављања TCP-а на слушачу require-proxy-header, пре обраде заглавља HTTP захтева:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Замените пример адресе релеја и ограничите мрежни приступ на овај слушач. У овој фази Squid проверава стварног TCP партнера пре прихватања достављених метаподатака. Након прихватања користи наведену адресу клијента за касније ACL провере и евидентирање. Поверење релеју на основу адресе клијента коју наводи обрнуло би тај редослед.

Задржите http_access за касније дозволе извора клијента и одредишта. Прихватање метаподатака не ауторизује приступ веб локацијама, а ACL одредишне домене не може да одговори на раније питање поверења у пошиљаоца.

Пошиљалац и прималац морају се договорити о подржаној верзији PROXY протокола. Обичан HTTP клијент не може да користи овај слушач са обавезним префиксом као уобичајену proxy крајњу тачку. Ако су потребна оба облика, користите намерно одвојене крајње тачке уместо дуплирања исте адресе слушања и порта.

Поуздан релеј може утицати на ауторизацију засновану на адреси кроз идентитет клијента који доставља. Доделите ту могућност само предвиђеном посреднику.

Повезани чланци