Postavite odvojene pristupne podatke za nadređeni Squid proxy

Dajte Squidu 6.13 vlastitu upstream prijavu umjesto pretpostavke da lozinku klijenta treba poslati drugom operateru.

Prijava korisnika na vaš Squid i prijava Squida na nadređeni proxy koriste različite podatke. Nadređeni proxy može pripadati drugom operateru ili koristiti drugu bazu računa. Prihvatanje lozinke klijenta ne znači da je trebate poslati dalje upstream.

Squid 6.13 može dodati statičku prijavu definiciji nadređenog proxyja:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Gornja adresa i lozinka su dokumentacijski primjeri. Dodajte prijavu postojećoj definiciji nadređenog proxyja da ne stvorite slučajno drugi peer. Zadržite odvojenu politiku rutiranja koja određuje koji zahtjevi moraju koristiti ovaj nadređeni proxy.

Odvojite opsege računa

Downstream postavke auth_param provjeravaju klijente vaše Squid instance. Opcija login peera daje podatke za drugi skok. Promjena jednog ne ažurira automatski drugo.

Pratite dokumentacijske zahtjeve autentifikacije nadređenog proxyja. Ovaj red nije potpuna konfiguracija za svaku autentifikacijsku shemu vezanu za konekciju. Ako nadređeni proxy očekuje NTLM ili Negotiate, provjerite podržani raspored peerova umjesto stalnog mijenjanja lozinke u ovom polju.

Squid ima i opcije prosljeđivanja pristupnih podataka poput PASS i PASSTHRU. Njihova semantika razlikuje se od posebnog upstream računa i mogu otkriti peeru autentifikacijske podatke klijenta. Ne birajte ih kao prečicu ako je predviđena upotreba odvojenih računa.

Zaštitite konfiguraciju i testirajte pravi skok

Statička tajna čuva se u konfiguraciji. Ograničite pristup datotekama i rezervnim kopijama te uklonite osjetljive podatke iz izlaza parsera ili debugiranja prije dijeljenja. Opcija ima vlastita escape pravila: dokumentacija dopušta URL escape zapise i zahtijeva udvostručavanje doslovnog znaka postotka.

Ako klijenti prođu autentifikaciju, ali proslijeđeni zahtjevi i dalje ne uspijevaju kod nadređenog proxyja, pregledajte tu upstream razmjenu i račun. Odvojite i zaštitu prijenosa klijent–Squid i Squid–nadređeni proxy; šifriranje prve veze ne osigurava automatski drugu.

Povezani članci