Squid 6-åtkomstregler för en klient-IP

Begränsa en Squid 6.13-framåtproxy till en känd klient, behåll destinationsskydd och kontrollera regelordningen före driftsättning.

Denna konfiguration gäller Squid 6.13, inklusive paketet i Debian 13. Bekräfta den installerade versionen med squid -v: Squids direktivreferens markerar http_access som otillgängligt i version 8.

Välj adresserna först

Lyssnaren behöver en adress som tilldelats servern. Klientregeln behöver den källadress som Squid ser, vilket kan vara ett NAT-nätverks offentliga utgångsadress i stället för en bärbar dators privata adress.

Ersätt dokumentationsadresserna nedan. Klientbegränsningen är en adress uttryckt som /32.

http_port 192.0.2.10:3128
acl proxy_client src 198.51.100.27/32
acl Safe_ports port 80 443
acl SSL_ports port 443
acl CONNECT method CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny manager
http_access deny to_localhost
http_access deny to_linklocal
http_access allow proxy_client
http_access deny all

Ersätt motsvarande lyssnare, ACL-definitioner och åtkomstregler i paketets konfiguration men behåll logg- och filsysteminställningarna. Att lägga dessa regler under en tidigare klienttillåtelse kan kringgå begränsningen. Upprepade definitioner av en list-ACL kan också lägga till värden.

Så passerar begäranden reglerna

De inledande nekandena avvisar oönskade destinationsportar, administrationsbegäranden och lokala eller länklokala destinationer. Den kända klienten tillåts efter dessa kontroller; alla andra begäranden når det slutliga nekandet. Destinationsskydden behövs fortfarande eftersom en lista med tillåtna källor ensam inte begränsar destinationer.

Begränsa värdens eller nätverkets brandvägg till den avsedda källan innan lyssnaren exponeras. Bindning väljer var Squid accepterar anslutningar; åtkomstregler avgör vilka begäranden det tillåter.

sudo squid -k parse -f /etc/squid/squid.conf

Rätta tolkningsfel innan den hanterade tjänsten laddas om. Testa från den tillåtna klienten och en andra kontrollerad källa som ska nekas. Bekräfta att målet bara får den godkända begäran: en TCP-anslutning ensam visar inte tillstånd att vidarebefordra.

Relaterade artiklar