Credencials d'Apache ProxyRemote versus proxy-chain-auth

Un client pot autenticar-se en un proxy directe d'Apache amb un compte mentre Apache s'autentica en un proxy pare amb un altre:

client ── client account ── Apache ── parent account ── parent proxy

Per a un compte fix del proxy pare a httpd 2.4.59 o posterior, ProxyRemote accepta un tercer argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Això complementa la configuració existent de proxy directe amb control d'accés, com ara un oient privat que requereix tant una IP de client com un inici de sessió de proxy. El compte pertany al pare seleccionat. Protegiu la configuració que el conté i trieu l'abast de coincidència que requereix el desplegament.

Apache envia aquestes credencials Basic de manera preventiva, sense esperar primer un repte. Això fa importants el transport i la política de comptes de la connexió al pare; la sessió HTTPS posterior del lloc web no protegeix per si mateixa un salt HTTP en clar fins al pare.

Quan el mateix compte entrant ha de continuar

Normalment Apache consumeix l'autenticació de proxy adreçada a ell mateix. En canvi, el paràmetre d'entorn proxy-chain-auth permet reenviar les credencials de proxy del client al proxy següent:

SetEnv proxy-chain-auth On

Això només és adequat per a una cadena d'autenticació intencionadament compartida. Passa el material del compte entrant cap endavant; no inventa un nom d'usuari ni una contrasenya diferents per al pare.

Amb l'argument explícit de credencials de ProxyRemote, proxy-chain-auth no té cap efecte. Trieu la font de credencials deliberadament en lloc d'apilar tots dos paràmetres amb l'esperança que es seleccioni la contrasenya que funcioni.

Aquests mecanismes autentiquen els salts de proxy. La capçalera Authorization d'un lloc de destí continua sent un intercanvi a part.