Протокол PROXY у Squid: довіряйте відправнику до перевірок доступу HTTP

Використовуйте proxy_protocol_access, щоб довіряти реле, яке постачає метадані, а не для вибору дозволених сайтів. У Squid 5–7 перевірка виконується один раз після встановлення TCP на слухачі require-proxy-header, до обробки заголовків HTTP-запиту:

acl trusted_relay src 192.0.2.20/32
http_port 3128 require-proxy-header
proxy_protocol_access allow trusted_relay
proxy_protocol_access deny all

Замініть приклад адреси реле й обмежте мережевий доступ до цього слухача. На цьому етапі Squid перевіряє фактичного учасника TCP, перш ніж прийняти надані метадані. Після прийняття він використовує заявлену адресу клієнта для подальших перевірок ACL і журналювання. Довіра реле на підставі адреси клієнта, яку воно заявляє, перевернула б цей порядок.

Збережіть http_access для пізніших дозволів на джерело клієнта й призначення. Прийняття метаданих не дає права доступу до сайтів, а ACL домену призначення не може відповісти на попереднє питання про довіру до відправника.

Відправник і одержувач мають узгодити підтримувану версію протоколу PROXY. Звичайний HTTP-клієнт не може використовувати цей слухач з обов'язковим префіксом як звичайну кінцеву точку проксі. Якщо потрібні обидві форми, використовуйте навмисно окремі кінцеві точки, а не дублюйте ту саму адресу прослуховування й порт.

Довірене реле може впливати на авторизацію за адресою через надану ним ідентичність клієнта. Надавайте цю можливість лише призначеному посереднику.