Фільтри призначення Tinyproxy, ACL клієнтів і порти CONNECT

Використовуйте фільтри призначення Tinyproxy для обмеження імен хостів і відрізняйте їх від правил, що керують клієнтами-джерелами або портами CONNECT.

Рядок Allow у Tinyproxy відповідає на питання, кому можна користуватися проксі. Це не означає, що ці клієнти можуть звертатися лише до хоста, записаного там. Фільтрування призначення — окреме налаштування.

Для проксі, призначеного для доступу до однієї іменованої служби, фільтр може працювати як список дозволених:

Filter "/etc/tinyproxy/allowed-hosts"
FilterDefaultDeny Yes
FilterURLs No

Далі файл містить шаблони призначення, дозволені вибраним синтаксисом фільтра. Тримайте вузький шаблон точного хоста і перевірте налаштований FilterType, перш ніж вибирати якорі регулярних виразів або синтаксис із символами підстановки. Шаблон, написаний для одного режиму, в іншому може означати інше.

Існують три різні механізми контролю

  • Правила Allow/Deny для клієнтів обмежують клієнтів-джерела.
  • Фільтрування призначення обмежує запитаний хост або URL.
  • ConnectPort обмежує порти призначення CONNECT.

Посібник Tinyproxy описує їх окремо. Фільтр призначення не додає автентифікацію проксі, а дозвіл порту не обмежує запити одним іменем хоста.

Для HTTPS через звичайний тунель працюйте з хостом призначення. Зашифрований шлях запиту недоступний як звичайний текст, видимий проксі, тому не слід припускати, що вираз шляху, який працює для відкритого HTTP, перевіряє шляхи сторінок HTTPS.

Враховуйте й залежності сайту. Одна сторінка може завантажувати зображення або автентифікуватися через інші хости. Додавайте лише справді потрібні призначення; перетворення правила точного хоста на широкий суфікс, щоб виправити одне відсутнє зображення, може дозволити значно більше трафіку. Тримайте список достатньо зрозумілим, щоб кожне дозволене призначення мало причину.

Схожі статті