Jak daleko dosáhne pravidlo MAC v Squidu?
Pochopte, co se Squid může dozvědět z MAC adresy klienta na místním spoji a co zmizí za routerem.
Pravidlo proxy založené na MAC může fungovat pro počítač vedle serveru Squid a selhat pro jinak stejný počítač v jiné podsíti. Router mění to, co proxy může pozorovat.
ARP překládá adresu linkové vrstvy IPv4 souseda na místním spoji. Nepřenáší původní Ethernet adresu přes každý směrovaný skok. Proto klient dosažený vzdálenou cestou není ekvivalentní přímo připojenému sousedovi jen proto, že Squid vidí jeho IP adresu.
Pro IPv4 omezuje dokumentace ACL v Squidu vyhledávání MAC na klienty ve stejné podsíti a vyžaduje sestavení s příslušnou podporou. Ověřte obě podmínky, než neodpovídající MAC ACL prohlásíte za překlep.
Použijte identifikátor na správné hranici
Pro přímo připojené klienty může podporované pravidlo MAC popsat síťový stav na úrovni zařízení. Stále však neověřuje osobu, která toto zařízení obsluhuje. Ani nedělá nahlášenou hardwarovou adresu nezměnitelnou.
Za routerem použijte informace dostupné na proxy: řízenou zdrojovou podsíť, ověřenou identitu proxy nebo výslovně navrženou integraci důvěryhodné identity. Čtení tabulky pronájmů serveru DHCP je dodatečný korelační systém, nikoli rozšíření dosahu ARP.
Při kontrole pravidla nakreslete cestu od klienta k Squidu a označte každý router. Pak se zeptejte, zda nainstalované sestavení skutečně podporuje ACL a režim vyhledávání. Tyto dvě kontroly vysvětlí mnohem více než opakované vkládání MAC klienta do stejného pravidla.