En Squid-allow-regel betyder AND; två kan betyda OR

Läs den här policyn högt: låt kontorets nätverk använda proxyn för den godkända destinationen. Om de villkoren hör ihop, håll dem ihop i regeln.

http_access allow office_clients approved_destination

Båda ACL:erna måste matcha för att raden ska tillåta begäran. Att dela den ändrar policyn:

http_access allow office_clients
http_access allow approved_destination

Kontorets klienter kan nu tillåtas utan destinationsbegränsningen, och begäranden till den destinationen utan kontorsbegränsningen, om inte en tidigare regel har nekat dem. Två rader är inte en mer läsbar stavning av en rad.

Ordningen är en del av policyn

Squid utvärderar åtkomstregler i ordning. Det första matchande beslutet styr begäran. En tidigare allow all upphäver en noggrann senare begränsning; en tidigare matchande nekning hindrar att en senare tillåtelse nås.

http_access-dokumentationen förklarar denna ordning. Behåll en avsiktlig slutlig nekning i stället för att lita på att läsaren minns det implicita standardbeteendet.

Många ACL-definitioner har en annan OR-relation: en namngiven käll-ACL kan lista flera tillåtna intervall. Det gör inte källans och destinationens identitet till samma ACL-typ. Definiera dem separat och kombinera sedan namnen i ett åtkomstbeslut.

För en privat utgång påverkar detta vem som kan använda din utgående IP. Tänk på fyra fall: godkänd klient till godkänd destination, godkänd klient någon annanstans, en annan klient till den godkända destinationen och en annan klient någon annanstans. Om reglerna tillåter fler fall än policyn avser, rätta logiken innan du breddar lyssnaren. En syntaktiskt giltig konfiguration kan fortfarande uttrycka fel behörigheter.