Надсилання запитів Squid через батьківський проксі

Змусьте Squid 6.13 використовувати батьківський проксі для пересилання запитів відомого клієнта й уникайте ненавмисного прямого резервного шляху.

Оголосити батьківський проксі в Squid саме по собі не означає, що кожен пересиланий запит мусить його використовувати. Якщо прямий шлях порушує вашу політику, задайте вимогу явно й перевірте недоступність батьківського проксі.

Цей приклад для Squid 6.13 задає одного батьківського проксі й забороняє пряме пересилання до джерела для одного клієнтського джерела:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream
acl routed_client src 198.51.100.27/32
never_direct allow routed_client

Обидві адреси — заповнювачі. Для контрольованого upstream-тесту, де дозволені публічні батьківські HTTP-проксі, виберіть адресу зі списку HTTP-проксі. Збережіть окрему політику http_access, що допускає лише потрібних клієнтів. Правило маршруту не надає клієнту права користуватися проксі.

Перевірте наявні правила маршрутизації

no-query вимикає ICP-запити до цього вузла. Нуль — порт запитів вузла, а не його HTTP-слухач. Слухач для клієнтів і його правила доступу залишаються окремими.

Перед додаванням блоку перевірте наявні налаштування always_direct та інші варіанти вибору вузлів. Заборона збігу в always_direct сама не вимагає батьківського проксі. Явне правило never-direct виражає цю вимогу для вибраного клієнта.

Це керує транзакціями, яким потрібне пересилання. Придатний запис локального кешу можна віддати без зв’язку з батьківським проксі, тому відсутність нового з’єднання з ним не обов’язково порушує маршрут.

Перевірте маршрут і поведінку при збої

Використовуйте контрольоване призначення й зіставляйте відомості ієрархії з журналу доступу зі спостереженнями призначення. Один підсумковий статус HTTP не скаже, чи Squid використав батьківський проксі, чи прямий шлях.

У тесті обслуговування зробіть батьківський проксі недоступним і повторіть той самий некешований запит. Якщо політика забороняє пряме пересилання, транзакція має завершитися невдало, а не потрапити до джерела іншим шляхом. Робіть це лише зі службами під вашим контролем і після тесту відновіть потрібну конфігурацію.

Схожі статті