squidのホワイトリストでIPを指定する記述方法

Question

acl SSL_ports port 443
acl Safe_ports port 80		# http
# acl Safe_ports port 21		# ftp
acl Safe_ports port 443		# https
# acl Safe_ports port 70		# gopher
# acl Safe_ports port 210		# wais
# acl Safe_ports port 1025-65535	# unregistered ports
# acl Safe_ports port 280		# http-mgmt
# acl Safe_ports port 488		# gss-http
# acl Safe_ports port 591		# filemaker
# acl Safe_ports port 777		# multiling http


acl CONNECT method CONNECT

acl client1 src <クライアントIP>

http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports

http_access allow localhost manager
http_access deny manager

http_access allow client1
http_access allow localhost
http_access deny all

# Squid listens to port
http_port 8080

# ParentProxySetting
cache_peer <親プロキシのPrivateIP> parent 8080 0 no-query

acl whitelist dstdomain "/etc/squid/whitelist"


cache_peer_access <親プロキシのプライベートIP> allow whitelist
cache_peer_access <親プロキシのプライベートIP> deny all
never_direct allow all

# Uncomment and adjust the following to add a disk cache directory.
# cache_dir ufs /var/spool/squid 100 16 256
# cache_mem 256MB

# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid

no_cache deny all

#
# Add any of your own refresh_pattern entries above these.
#
refresh_pattern ^ftp:		1440	20%	10080
refresh_pattern ^gopher:	1440	0%	1440
refresh_pattern -i (/cgi-bin/|?) 0	0%	0
refresh_pattern .		0	20%	4320

logformat squid [%{%Y/%m/%d.%H:%M:%S}tl] %6tr %>a %Ss/%03>Hs %<st %rm %ru %[un %Sh/%<a %mt

#logrotate setting

.cman.jp
.directcloud.jp
www.air-japan.jp
216.58.220.142

squidのホワイトリストで、サイトのURLではなくIPを許可したいのですが、どのように記述すればいいのでしょうか。
試しにgoogleのIP(216.58.220.142)をそのまま記述してみたのですが、うまくいきませんでした。

ご存知の方、ご教授いただければ幸いです。

追記します。多段プロキシ構成となっており、主なホワイトリスト制限は子プロキシでかけるため、子プロキシの設定ファイルを記述しております。また、上手くいかないのはwhitelistのIPで記述した箇所のみであり、それ以外のサブドメインなどで記述したものは適用されています。

Comments

[TaichiYanagiya]

試した設定(acl, http_access など)を教えてください。

[ayamiya0713]

squid.confの中身を一部ぼかしてありますが、記述しました。ただ、whitelistに記述してあるその他のサイト(サブドメインでの許可)は問題なく適用されており、適用されないのはIPで記述した箇所のみなので、記述形式の問題だと思っております。

[hentaiman]

プロフィール見たんで回答する前に確認したいんだけど、そこら辺のconfの設定のコピペとかじゃなくてsquidそのものの書き方は調べましたか？公式サイトのマニュアルやmanを確認するとかしましたかって意味で。素人は素人の書いたサイトのconfコピペとかで済ますのかもしれないけど多分それじゃあ職業的に困るだろうと思ってのコメントです。
さらにいうなら、それらを調べればすぐに答えが見つかると思ったので。

[ayamiya0713]

hentaimanさん
返信ありがとうございます。
http://www.squid-cache.org/Versions/v3/3.5/cfgman/acl.html
上記のサイトを見て、
”acl aclname dstdomain [-n] .foo.com ...
＃URLからの宛先サーバー[高速]
＃
＃dstdomainおよびdstdom_regexの場合、IPの場合、逆引きが試行されます”
と記述してあったので、IPもドメインと同じファイルの中に記述していいものだと思っていました。
もし見ているページが間違っていたら、ご教授いただければ幸いです。

また、アドバイスいただき、ありがとうございます。今まで個人のブログなどを参照して構築することが多かったので、これからは公式のマニュアルを読むよう、気を付けたいと思います。

[hentaiman]

見てるとこは問題ない
あと失礼、dstじゃないとダメだと思ったがそしたらとりあえずdstで制御出来るかを確認し、それでもダメならリストに記載してあるIPがGoogleのものでは無いという事です
調べればgoogleが使ってるIPのCIDR表記も見つかるのでそれを全部当てましょう

[hentaiman]

今時個人ブログ見なくても公式にサンプルあるからね
全てがダメという訳ではないしqiita何かも玉石混交で、出典や参考情報として公式マニュアルの特定の個所を明記しているものなら問題無いだろうとは思いますよ

[ayamiya0713]

hentaimanさん
アドバイスありがとうございました。
これからインフラエンジニアとして力をつけるために、まず、公式のマニュアルを参考にする癖をつけたいと思います。

Answer 1

宛先IPアドレスは acl タイプ dstdomain ではなく、dst です。
また、1つの acl 名 "whitelist" で複数の acl タイプを設定することはできませんので、それぞれ acl 名を設定し、cache_peer_access を複数設定するか、acl を any-of でまとめます。

(cache_peer_access 複数設定の場合)

acl whitelist_dstdomain dstdomain .cman.jp
acl whitelist_dstdomain dstdomain .directcloud.jp
acl whitelist_dstdomain dstdomain www.air-japan.jp
acl whitelist_dst dst 216.58.220.142

cache_peer_access <親プロキシのプライベートIP> allow whitelist_dstdomain
cache_peer_access <親プロキシのプライベートIP> allow whitelist_dst
cache_peer_access <親プロキシのプライベートIP> deny all

(acl を any-of でまとめる場合)

acl whitelist_dstdomain dstdomain .cman.jp
acl whitelist_dstdomain dstdomain .directcloud.jp
acl whitelist_dstdomain dstdomain www.air-japan.jp
acl whitelist_dst dst 216.58.220.142
acl whitelist any-of whitelist_dstdomain whitelist_dst

cache_peer_access <親プロキシのプライベートIP> allow whitelist
cache_peer_access <親プロキシのプライベートIP> deny all

外部ファイルにするのであれば、acl any-of までをまるごと include で読み込むか、dstdomain と dst で別のファイルにします。

Comments

[ayamiya0713]

回答ありがとうございます。
dstdomainで逆引きはできても、IPとドメインを同じドキュメントに記述してはいけなかったんですね。無事、適用させることができました。