Autorizacija prosljeđujućeg proxyja u Apacheu: Require i AuthMerging
Pratite globalnu autorizaciju proxyja i onu na virtualnom hostu kroz Apacheova pravila spajanja sekcija, umjesto da proxy.conf tretirate kao zaseban sloj politike.
Pravilo u proxy.conf nije posebna klasa pravila. Apache učitava uključenu konfiguraciju u svoje konfiguracijsko stablo; obuhvatajuća globalna, VirtualHost ili odgovarajuća sekcija određuje kako direktiva učestvuje.
Počnite s listenerom i virtualnim hostom koji opslužuju zahtjev prosljeđujućeg proxyja. Zatim prikupite odgovarajuće Proxy sekcije iz tog konteksta i glavne konfiguracije. Redoslijed obrade sekcija je važan, a ne samo to koji je fajl posljednji uređen.
Autorizacija nije uvijek kumulativna
Uz podrazumijevano ponašanje AuthMerging Off, autorizacija se nasljeđuje dok kasnija primjenjiva sekcija ne pruži vlastitu logiku autorizacije. Ta nova logika može zamijeniti prethodne zahtjeve umjesto da doda još jedno ograničenje.
| Postavka | Kombinacija s najbližom prethodnom sekcijom autorizacije |
|---|---|
| Off | Nova autorizacija može nadjačati naslijeđenu logiku |
| And | Oba skupa moraju autorizirati |
| Or | Bilo koji skup može autorizirati |
Sam AuthMerging lokaliziran je na sekciju koja ga sadrži. Ne pretpostavljajte da jedno postavljanje And mijenja svaku kasniju sekciju.
Držite namjeravanu politiku eksplicitnom gdje je moguće. Dvije linije Require bez obuhvatajućeg spremnika autorizacije implicitno su alternative, pa IP pravilo plus valid-user nije automatski „IP i korisnik“. Koristite RequireAll kada oba uslova pripadaju istoj odluci.
Pregledajte kompletnu odgovarajuću konfiguraciju prije nego promijenite proxy račun ili otvorite pristup. Zatim testirajte dopuštene i odbijene slučajeve na aktivnom listeneru. Zahtjev može biti odbijen—ili neočekivano dopušten—jer je druga sekcija pružila efektivnu autorizaciju.