Definir credencials separades per a un servidor intermediari pare de Squid

Les credencials de l’usuari del vostre servei Squid i les de Squid per entrar al pare són diferents. El pare pot pertànyer a un altre operador o utilitzar una altra base de comptes. Acceptar la contrasenya d’un client no significa que s’hagi de transmetre al pare.

Squid 6.13 pot afegir un accés estàtic a la definició d’un pare:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

L’adreça i la contrasenya anteriors són exemples de documentació. Afegiu l’accés a la definició del pare existent per no crear accidentalment un segon peer. Manteniu la política d’encaminament separada que decideix quines peticions han d’utilitzar aquest pare.

Manteniu separats els àmbits dels comptes

La configuració auth_param de baixada valida els clients de la vostra instància Squid. L’opció login del peer proporciona credencials per a un altre salt. Canviar una part no actualitza automàticament l’altra.

Seguiu els requisits d’autenticació documentats del pare. Aquesta línia no és una configuració completa per a tots els esquemes d’autenticació orientats a connexió. Si el pare espera NTLM o Negotiate, comproveu la configuració de peers admesa en lloc de canviar repetidament la contrasenya del camp.

Squid també té opcions de transmissió de credencials com PASS i PASSTHRU. Tenen una semàntica diferent d’un compte superior dedicat i poden exposar al peer informació d’autenticació del client. No les trieu com a drecera si el disseny preveu comptes separats.

Protegiu la configuració i proveu el salt correcte

El secret estàtic s’emmagatzema a la configuració. Limiteu l’accés a fitxers i còpies de seguretat i elimineu dades sensibles de la sortida de l’analitzador o de depuració abans de compartir-la. L’opció té regles d’escapament pròpies: la documentació permet escapaments URL i exigeix duplicar el caràcter de percentatge literal.

Si els clients s’autentiquen però les peticions reenviades continuen fallant al pare, examineu aquest intercanvi superior i el compte. Separeu també la protecció del transport client–Squid i Squid–pare; xifrar la primera connexió no protegeix automàticament la segona.