решено: squid и delay pools (зачем правило deny all?)

[McSim]

Всех приветствую.
Не могу понять работу delay pools..
В сети куча мануалов и все без толькового разъяснения.
Все предлагают примерно такую схему:

Код: Выделить всё

acl user src x.0.0.x
http_access allow user
delay_pools 1
delay_class 1 1
delay_access 1 allow user
delay_access 1 deny all
delay_parameters 1 16000/16000

При этом говорится, что delay_access 1 allow user управляет попаданием всего, что принадлежит acl - в данный пул (в нашем случае - 1). При этом, всем остальным, кто не попал в данный пул - доступ будет предоставлен без каких-либо ограничений...
Внимание вопрос:
Какой великий смысл в правиле delay_access 1 deny all ??? И почему его все лепят?
Если итак, для всех, кто не попал в данный пул - на них как бэ и не будут действовать параметры данного пула...
Заранее спасибо за разъяснения!

[sysmouse]

Код: Выделить всё

acl user src x.0.0.x
http_access allow user
delay_access 1 allow user
delay_access 1 deny all

Ты указываешь, что user это все с IP x.0.0.x, разрешаешь им пул, запрещаешь его для всех остальных.
По-идее для всех остальных должен быть другой пул.

[McSim]

Ты указываешь, что user это все с IP x.0.0.x, разрешаешь им пул, запрещаешь его для всех остальных.
По-идее для всех остальных должен быть другой пул.

Дык какой смысл в этом запрете, если остальные итак не allow для проходят мимо данного пула?
религия не позволяет "...да просто поверь...", хочется разобраться.

[sysmouse]

Код: Выделить всё

Дык какой смысл в этом запрете

Потому что твой allow никому не запрещает использовать пул.

Код: Выделить всё

allow user
deny all

Разрешить user, запретить всем остальным.

[McSim]

А каким образом эти "никому" будут его использовать пул, если им неуказан allow? ))
Просто, если провести аналогию с iptables, там если не указать -P INPUT DROP, то будет действовать для всех умолчательное правило -P ACCEPT.
А тут как бы нет разрешительного правила, а если нет разрешающего, то какой смысл в запрещяющем?

[Red Gremlin]

В сквиде политика по умолчанию противоположна политике последнего фильтра.
Т.е.

Код: Выделить всё

allow user

действительно эквивалентно

Код: Выделить всё

allow user
deny all

(все, кто не user попадают на политику по умолчанию, последний фильтр allow, поэтому политика deny), но

Код: Выделить всё

allow user1
deny user2

уже эквивалентно

Код: Выделить всё

allow user1
deny user2
allow all

т.к. последний фильтр - deny, так что все, кто не user2 попадают. Поэтому и рекомендуют все цепочки заканчивать deny all, чтобы случайно не выстрелить себе в ногу.

[McSim]

вот жеж респект !!!
достойный ответ. еще бы ссылку на документацию

[KiWi]

вот жеж респект !!!
достойный ответ. еще бы ссылку на документацию

http://www.squid-cache.org/Doc/config/http_access/

[McSim]

оказывается, как всё очевидно

If none of the "access" lines cause a match, the default is the
opposite of the last line in the list. If the last line was
deny, the default is allow. Conversely, if the last line
is allow, the default will be deny. For these reasons, it is a
good idea to have an "deny all" entry at the end of your access
lists to avoid potential confusion.

(с)