Дадаць Basic-аўтэнтыфікацыю да проксі Squid 6.13

Наладзьце NCSA-памочнік Squid 6.13, спалучыце дазволены IP кліента з сапраўдным уваходам і зразумейце абарону Basic.

Гэтая працэдура дадае Basic-аўтэнтыфікацыю на аснове NCSA да проксі Squid 6.13 з абмежаваннем крыніцы. У Debian 13 памочнік — /usr/lib/squid/basic_ncsa_auth; праверце шлях і службовы ўліковы запіс свайго пакета.

Стварыць першы ўліковы запіс

Выкарыстоўвайце ўтыліту htpasswd дыстрыбутыва і ўвядзіце пароль інтэрактыўна:

sudo htpasswd -c /etc/squid/users proxyuser
sudo chown root:proxy /etc/squid/users
sudo chmod 640 /etc/squid/users

Уласнасць мяркуе службовую групу Debian. Squid мусіць чытаць файл, іншыя карыстальнікі — не. Для наступных запісаў прапускайце -c: ён стварае новы файл і можа замяніць наяўныя запісы.

Патрабаваць крыніцу і ўваход у адным дазваляльным правіле

Размясціце гэта пасля наяўных ахоўных правілаў для партоў прызначэння, кіравання, localhost і link-local:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/users
auth_param basic realm PrivateProxy

acl proxy_client src 198.51.100.27/32
acl logged_in proxy_auth REQUIRED

http_access allow proxy_client logged_in
http_access deny all

Замяніце адрас кліента крыніцай, якую бачыць Squid. Абедзве ўмовы мусяць выконвацца. Выдаліце ранейшыя шырокія дазволы кліентаў, што абыходзяць правіла ўваходу, але захавайце абмежаванні слухача і міжсеткавага экрана.

Праверыць сінтаксіс, перачытаць налады і параўнаць два запыты

sudo squid -k parse -f /etc/squid/squid.conf

Выпраўце памылкі разбору і перад тэставаннем перачытайце канфігурацыю кіраванай службы Squid. З дазволенай крыніцы запыт без даных уваходу мусіць атрымаць патрабаванне аўтэнтыфікацыі. Параўнайце з аўтарызаваным запытам, выкарыстоўваючы сапраўднае імя хоста проксі:

curl --proxy http://proxy.example:3128 --proxy-basic --proxy-user proxyuser --noproxy '' --connect-timeout 5 --max-time 15 https://example.com/

Калі задаць толькі імя карыстальніка, curl запытае пароль. Сапраўдны запыт мусіць дайсці да адрасата.

Basic-аўтэнтыфікацыя не шыфруе абмен паміж кліентам і проксі. Наступны HTTPS адрасата не абароніць даныя, ужо адпраўленыя незашыфраванаму проксі; выкарыстоўвайце належна абаронены шлях. Дырэктывы прызначаныя для Squid 6.13; для Squid 8 глядзіце налады адпаведнай версіі.

Падобныя артыкулы