О безопасности SQUID

> возможно ли с компьютера из городской сети (в той же сетке, что и мой сервер) получить доступ к SQUID'у, просто подделав IP-адрес?
Смотря что считать "доступом". Полноценный - нет, т.к. squid отвечать будет тоже этому подделанному адресу, следовательно согласно таблице маршрутизации он уйдет не в ту сеть, а туда, где его не ждут, т.е. соединение не установится.

> Если да, то как с этим бороться?
iptables -A INPUT -i ethX -p tcp --dport 3128 -j DROP
где ethX - интерфейс, смотрящий в городскую сеть.

можно спокойно обойтись без iptables - использовать опцию squid.conf http_port и сказать ею сквиду слушать клиентские запросы только на нужном интерфейсе.

> слушать клиентские запросы только на нужном интерфейсе.
И что, до этого интерфейса думаете не доберутся ??? И запросто.
Даже обычным telnet-ом :-)

а слабо закрыть telnet? и пользоваться ssh

да, вы правы. стормозил я что-то... :)

да, и вдогонку - идеологически правильно будет более радикальное решение -
iptables -A input -i ethXX -s mynet/myprefix -j DROP
нефиг спуфить :)

Точно :-)
А еще rp_filter включить:
sysctl -w net.ipv4.conf.*.rp_filter = 1