Асобныя ўліковыя даныя для бацькоўскага проксі Squid

Уліковыя даныя карыстальніка вашага Squid і даныя ўваходу Squid у бацькоўскі проксі розныя. Бацькоўскі проксі можа належаць іншаму аператару або выкарыстоўваць іншую базу рахункаў. Прыняцце пароля кліента не азначае, што яго трэба перадаваць вышэй.

Squid 6.13 можа дадаць статычныя даныя ўваходу да вызначэння бацькоўскага проксі:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Адрас і пароль вышэй — прыклады з дакументацыі. Дадайце ўваход да наяўнага вызначэння бацькоўскага проксі, каб выпадкова не стварыць другі peer. Захавайце асобную палітыку маршрутызацыі, якая вызначае, якія запыты павінны выкарыстоўваць гэты бацькоўскі проксі.

Раздзяляйце вобласці дзеяння ўліковых запісаў

Налады auth_param ніжэйшага ўзроўню правяраюць кліентаў вашага асобніка Squid. Параметр login у peer дае даныя для іншага пераходу. Змена аднаго аўтаматычна не абнаўляе другое.

Выконвайце задакументаваныя патрабаванні аўтэнтыфікацыі бацькоўскага проксі. Гэты радок не з’яўляецца поўнай канфігурацыяй кожнай схемы аўтэнтыфікацыі, арыентаванай на злучэнне. Калі бацькоўскі проксі чакае NTLM або Negotiate, праверце падтрымліваную схему peer замест шматразовай змены пароля ў полі.

Squid мае і параметры перадачы ўліковых даных, напрыклад PASS і PASSTHRU. Іх семантыка адрозніваецца ад асобнага вышэйшага ўліковага запісу, і яны могуць раскрыць peer звесткі аўтэнтыфікацыі кліента. Не абірайце іх як скарочаны шлях, калі праект выкарыстоўвае асобныя рахункі.

Абараняйце канфігурацыю і правярайце патрэбны пераход

Статычны сакрэт захоўваецца ў канфігурацыі. Абмяжуйце доступ да файлаў і рэзервовых копій і выдаліце сакрэты з вываду парсера ці адладкі перад распаўсюдам. Параметр мае ўласныя правілы экранавання: дакументацыя дазваляе URL-экранаванне і патрабуе падвойваць літаральны знак працэнта.

Калі кліенты паспяхова аўтэнтыфікуюцца, але перасланыя запыты ўсё яшчэ не праходзяць на бацькоўскім проксі, вывучыце гэты вышэйшы абмен і рахунак. Раздзяляйце і абарону транспарту кліент–Squid і Squid–бацькоўскі проксі: шыфраванне першага злучэння не абараняе другое аўтаматычна.