Идентификационни данни на Apache ProxyRemote срещу proxy-chain-auth

Клиент може да се удостовери пред преден прокси на Apache с един акаунт, докато Apache се удостоверява пред родителско прокси с друг:

client ── client account ── Apache ── parent account ── parent proxy

За фиксиран акаунт за родителско прокси на httpd 2.4.59 или по-нов ProxyRemote приема трети аргумент:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Това допълва съществуващата конфигурация на преден прокси с контрол на достъпа, например частен слушател, който изисква едновременно клиентски IP адрес и вход за прокси. Акаунтът принадлежи на избраното родителско прокси. Защитете конфигурацията, която го съдържа, и изберете обхвата на съвпадение, който изисква внедряването.

Apache изпраща тези Basic данни предварително, без първо да чака предизвикателство. Затова транспортът и политиката за акаунти на връзката към родителското прокси са важни; по-късната HTTPS сесия на сайта сама по себе си не защитава открит HTTP преход към родителското прокси.

Кога същият входящ акаунт трябва да продължи

Apache обикновено изразходва адресираното до него удостоверяване за прокси. Настройката на средата proxy-chain-auth вместо това позволява предаване на идентификационните данни за прокси на клиента към следващото прокси:

SetEnv proxy-chain-auth On

Това е подходящо само за умишлено споделена верига за удостоверяване. Тя предава нататък материала на входящия акаунт; не измисля различно потребителско име и парола за родителското прокси.

С явния аргумент за идентификационни данни на ProxyRemote proxy-chain-auth няма ефект. Избирайте източника на данни съзнателно, вместо да наслагвате двете настройки с надеждата, че ще бъде избрана работещата парола.

Тези механизми удостоверяват преходите през прокси. Заглавката Authorization на целевия сайт остава отделен обмен.