Як далёка можа дасягнуць правіла MAC у Squid?
Даследуйце, што Squid можа даведацца з MAC-адраса кліента на лакальным звяне і што знікае за маршрутызатарам.
Правіла проксі на аснове MAC можа працаваць для кампутара побач з серверам Squid і не працаваць для такога ж кампутара ў іншай падсетцы. Маршрутызатар змяняе тое, што можа назіраць проксі.
ARP вызначае адрас канальнага ўзроўню суседа IPv4 на лакальным звяне. Ён не перадае зыходны адрас Ethernet праз кожны прамаршрутызаваны пераход. Таму кліент, які дасягаецца праз аддалены маршрут, не эквівалентны непасрэдна падключанаму суседу толькі таму, што Squid бачыць яго IP-адрас.
Для IPv4 дакументацыя ACL у Squid абмяжоўвае пошук MAC кліентамі ў той жа падсетцы і патрабуе зборкі з адпаведнай падтрымкай. Праверце абедзве ўмовы, перш чым лічыць несупадальнае правіла MAC ACL арфаграфічнай памылкай.
Выкарыстоўвайце ідэнтыфікатар на правільнай мяжы
Для непасрэдна падключаных кліентаў падтрымліванае правіла MAC можа апісваць сеткавы стан на ўзроўні прылады. Яно ўсё яшчэ не аўтэнтыфікуе чалавека, які карыстаецца гэтай прыладай. І не робіць заяўлены апаратны адрас немагчымым змяніць.
Праз маршрутызатар выкарыстоўвайце інфармацыю, даступную на проксі: кантраляваную зыходную падсетку, аўтэнтыфікаваную ідэнтычнасць проксі або яўна спраектаваную інтэграцыю даверанай ідэнтычнасці. Чытанне табліцы арэнды DHCP-сервера — гэта дадатковая сістэма карэляцыі, а не пашырэнне дасяжнасці ARP.
Пры разглядзе правіла намалюйце шлях ад кліента да Squid і адзначце кожны маршрутызатар. Затым спытайце, ці ўсталяваная зборка сапраўды падтрымлівае ACL і рэжым пошуку. Гэтыя дзве праверкі тлумачаць значна больш, чым паўторная ўстаўка MAC кліента ў тое ж правіла.