Přihlašovací údaje Apache ProxyRemote versus proxy-chain-auth

Klient se může autentizovat vůči dopřednému proxy Apache jedním účtem, zatímco Apache se autentizuje vůči nadřazenému proxy jiným:

client ── client account ── Apache ── parent account ── parent proxy

Pro pevný účet nadřazeného proxy na httpd 2.4.59 nebo novějším přijímá ProxyRemote třetí argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Tím se doplňuje stávající konfigurace dopředného proxy s řízením přístupu, například soukromý listener, který vyžaduje jak IP adresu klienta, tak přihlášení k proxy. Účet patří zvolenému nadřazenému proxy. Chraňte konfiguraci, která jej obsahuje, a zvolte rozsah shody požadovaný nasazením.

Apache odesílá tyto přihlašovací údaje Basic předem, aniž by nejprve čekal na výzvu. Proto je důležitý transport a zásady účtů u připojení k nadřazenému proxy; pozdější relace HTTPS webu sama nechrání nešifrovaný HTTP skok k nadřazenému proxy.

Kdy má stejný příchozí účet pokračovat

Apache obvykle spotřebovává autentizaci proxy adresovanou sobě. Nastavení prostředí proxy-chain-auth místo toho umožňuje předat přihlašovací údaje proxy klienta dalšímu proxy:

SetEnv proxy-chain-auth On

To je vhodné pouze pro záměrně sdílený autentizační řetězec. Předává příchozí materiál účtu dál; nevymýšlí jiné uživatelské jméno a heslo nadřazeného proxy.

S explicitním argumentem přihlašovacích údajů ProxyRemote nemá proxy-chain-auth žádný účinek. Volte zdroj údajů vědomě, místo abyste vrstvili obě nastavení v naději, že bude vybráno to heslo, které funguje.

Tyto mechanismy autentizují skoky proxy. Hlavička Authorization cílového webu zůstává samostatnou výměnou.