Cymwysterau Apache ProxyRemote yn erbyn proxy-chain-auth

Gall cleient ddilysu i brocsi ymlaen Apache ag un cyfrif, tra bod Apache yn dilysu i brocsi rhiant â chyfrif arall:

client ── client account ── Apache ── parent account ── parent proxy

Ar gyfer cyfrif rhiant sefydlog ar httpd 2.4.59 neu'n hwyrach, mae ProxyRemote yn derbyn trydydd dadl:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Mae hyn yn ategu'r ffurfweddiad procsi-ymlaen â rheolaeth mynediad sy'n bodoli eisoes, megis gwrandäwr preifat sy'n gofyn am IP cleient a mewngofnod procsi ill dau. Mae'r cyfrif yn perthyn i'r rhiant a ddewiswyd. Diogelwch y ffurfweddiad sy'n ei gynnwys, a dewiswch gwmpas y cyfatebiaeth y mae'r defnydd yn ei olygu.

Mae Apache yn anfon y cymwysterau Basic hyn ymlaen llaw, heb aros am her yn gyntaf. Mae hynny'n gwneud cludiant a pholisi cyfrif y cysylltiad rhiant yn bwysig; nid yw sesiwn HTTPS ddiweddarach y wefan ei hun yn diogelu naid HTTP clir i'r rhiant.

Pryd y dylai'r un cyfrif sy'n dod i mewn barhau

Yn arferol mae Apache yn defnyddio dilysu procsi a gyfeirir ato ef ei hun. Yn lle hynny mae'r gosodiad amgylchedd proxy-chain-auth yn caniatáu trosglwyddo cymwysterau procsi'r cleient i'r procsi nesaf:

SetEnv proxy-chain-auth On

Dim ond ar gyfer cadwyn ddilysu a rennir yn fwriadol y mae hyn yn briodol. Mae'n trosglwyddo deunydd y cyfrif sy'n dod i mewn ymlaen; nid yw'n dyfeisio enw defnyddiwr a chyfrinair rhiant gwahanol.

Gyda dadl gymwysterau penodol ProxyRemote, nid oes effaith gan proxy-chain-auth. Dewiswch ffynhonnell y cymwysterau yn fwriadol yn hytrach na haenu'r ddau osodiad gan obeithio y dewisir y cyfrinair sy'n gweithio.

Mae'r mecanweithiau hyn yn dilysu neidiau procsi. Mae pennawd Authorization gwefan gyfrchfan yn parhau i fod yn gyfnewid ar wahân.