Squid’te myportname ve src’yi ayrı ACL’lerle birleştirme

Aynı tanıma iki ACL türü koymadan adlandırılmış bir Squid dinleyicisini izin verilen istemci ağıyla birleştirin.

Yapılandırma ilk bakışta akla yatkın görünüyor:

acl team_a myportname 3128 src 198.51.100.0/24

Ama bir ACL tanımının tek türü olur. Burada myportname türdür; src sözcüğünü eklemek ikinci bir sınav başlatmaz. Kalan sözcükler ilk türün değer listesine aittir. O satır “bu dinleyici ve bu istemci ağı” demek değildir.

Her koşula bir ad verin

Dinleyen soket için bir ad, kaynak için ayrı bir ACL kullanın. Bu kesit belge amaçlı adresler kullanır; bunlar dağıtıma uygun adreslerle değiştirilmelidir:

http_port 192.0.2.10:3128 name=team_a_port
acl team_a_port myportname team_a_port
acl team_a_clients src 198.51.100.0/24

http_access allow team_a_port team_a_clients
http_access deny all

İzin kuralını güvenli olmayan hedef bağlantı noktaları, kısıtlı CONNECT hedefleri ve yönetim erişimi için var olan korumalardan sonra koyun. Kesit istemci/dinleyici koşulunu gösterir; o korumaların yerini almaz.

Tek bir http_access satırındaki koşullar AND ile birleştirilir. İki ayrı izin satırı her koşulu bağımsız olarak geçirirdi ve bu, politikayı büyük ölçüde değiştirirdi. Bir ACL içindeki birden çok değer genellikle o tek sınav için seçenekler sunar.

Çıkışı ayrı seçin

Eşleşen bir dinleyici tcp_outgoing_address tarafından yerel kaynak adresi seçmek için de kullanılabilir. Bu yönlendirme seçimidir, proxy kullanma izni değildir. Giden adres kuralı reddedilen bir isteği http_access üzerinden geçiremez.

Çok adresli bir yapılandırma yükseltmeden sonra çalışmayı bırakırsa kanıtları ayırın: ayrıştırma hatası yapılandırma sözdizimini gösterir; erişim reddi kural eşleşmesini; yanlış çıkışla izin verilen istek çıkış seçimini veya sonraki NAT’ı gösterir. Üçünü birden değiştirmek küçük bir ACL hatasını bulmayı çok daha zorlaştırır.

İlgili makaleler