Вимагайте і входу Squid, і правильної IP-адреси клієнта

Обмежте названого користувача проксі Squid схваленою адресою джерела, вимагаючи обидві умови ACL.

Правильний пароль — це лише половина цієї політики: обліковий запис має працювати також з однієї схваленої адреси клієнта. У Squid розміщення обох перевірок в одному правилі доступу — це різниця між цією вимогою та двома окремими шляхами входу.

Припускаючи, що автентифікацію вже налаштовано, наприклад налаштування Squid 6.13 NCSA, основна політика така:

acl approved_login proxy_auth alex
acl approved_source src 192.0.2.40/32
http_access allow approved_source approved_login
http_access deny all

Використовуйте джерело, яке Squid фактично отримує; приклад — адреса з документації. Збережіть попередні захисти для небезпечних портів призначення, локальних служб і трафіку CONNECT. Цей фрагмент показує об'єднану умову, а не повну конфігурацію слухача.

Перевірте правила вище

Раніший широкий дозвіл може прийняти запит раніше, ніж він дійде до нової умови. Довідка http_access описує впорядковане зіставлення. Прочитайте всю послідовність, включно з підключеними файлами.

Один дозвіл для імені користувача й інший для джерела не вимагають обох. Будь-який рядок може спрацювати незалежно. Це інша політика.

ACL proxy_auth залежить від помічника автентифікації. Його визначення — не спосіб створити користувача чи перевірити пароль. Цей приклад стосується явного проксі, клієнти якого можуть відповідати на запити автентифікації проксі.

Ідентичність джерела також має межі. Люди за одним NAT можуть ділити адресу, а переміщуваний ноутбук може змінювати адресу. Додаткова умова звужує доступне мережеве розташування облікового запису; вона не ідентифікує фізичний комп'ютер надійно. Переконайтеся, що це обмеження відповідає причині, з якої ви спочатку додали умову.

Схожі статті