Уліковыя даныя Apache ProxyRemote і proxy-chain-auth

Кліент можа аўтэнтыфікавацца на прамым проксі Apache з адным уліковым запісам, а Apache аўтэнтыфікуецца на бацькоўскім проксі з іншым:

client ── client account ── Apache ── parent account ── parent proxy

Для фіксаванага запісу бацькоўскага проксі на httpd 2.4.59 або пазней ProxyRemote прымае трэці аргумент:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Гэта дапаўняе існуючую канфігурацыю прамога проксі з кантролем доступу, напрыклад прыватны слухач, які патрабуе і IP-адрас кліента, і ўваход у проксі. Запіс належыць выбранаму бацькоўскаму проксі. Абараніце канфігурацыю, якая яго змяшчае, і выберыце абсяг супадзення, патрэбны разгортванню.

Apache дасылае гэтыя Basic-даныя загадзя, не чакаючы спачатку выкліку. Таму транспарт і палітыка запісу для злучэння з бацькоўскім проксі маюць значэнне; пазнейшая HTTPS-сесія сайта сама не абараняе незашыфраваны HTTP-пераход да бацькоўскага проксі.

Калі той самы ўваходны запіс павінен працягвацца

Apache звычайна спажывае аўтэнтыфікацыю проксі, адрасаваную яму самому. Налада асяроддзя proxy-chain-auth замест гэтага дазваляе перадаваць уліковыя даныя проксі кліента наступнаму проксі:

SetEnv proxy-chain-auth On

Гэта падыходзіць толькі для наўмысна агульнага ланцуга аўтэнтыфікацыі. Яна перадае далей матэрыял уваходнага запісу; яна не выдумляе іншыя імя карыстальніка і пароль бацькоўскага проксі.

З явным аргументам уліковых даных ProxyRemote налада proxy-chain-auth не мае эфекту. Выбірайце крыніцу даных усвядомлена, а не накладайце абедзве налады ў надзеі, што будзе выбраны той пароль, які працуе.

Гэтыя механізмы аўтэнтыфікуюць пераходы проксі. Загаловак Authorization мэтавага сайта застаецца асобным абменам.