Докъде може да стигне правило за MAC в Squid?
Разберете какво Squid може да научи от MAC адреса на клиент в локална връзка и какво изчезва зад рутер.
Правило за прокси, базирано на MAC, може да работи за настолен компютър до сървъра Squid и да се провали за идентичен компютър в друга подмрежа. Рутерът променя това, което проксито може да наблюдава.
ARP разрешава адреса на каналния слой на IPv4 съсед в локалната връзка. Той не пренася оригиналния Ethernet адрес през всеки маршрутизиран хоп. Затова отдалечено маршрутизиран клиент не е еквивалентен на директно свързан съсед само защото Squid вижда IP адреса му.
За IPv4 документацията за ACL на Squid ограничава търсенето по MAC до клиенти в същата подмрежа и изисква компилация със съответната поддръжка. Проверете и двете условия, преди да приемете несъвпадащо MAC ACL за правописна грешка.
Използвайте идентификатора на правилната граница
За директно свързани клиенти поддържано правило за MAC може да опише мрежово условие на ниво устройство. То все още не удостоверява човека, който работи с това устройство. Нито прави отчетения хардуерен адрес невъзможен за промяна.
Отвъд рутер използвайте информацията, налична в проксито: контролирана изходна подмрежа, удостоверена идентичност на проксито или изрично проектирана интеграция с доверена идентичност. Четенето на таблицата с наеми на DHCP сървър е допълнителна система за корелация, а не разширение на обхвата на ARP.
Когато преглеждате правило, начертайте пътя от клиента до Squid и отбележете всеки рутер. След това попитайте дали инсталираната компилация наистина поддържа ACL и режима на търсене. Тези две проверки обясняват много повече от многократното поставяне на MAC адреса на клиента в същото правило.