Tilføj Basic-godkendelse til en Squid 6.13-proxy

Opsæt Squid 6.13's NCSA-hjælper, kombiner tilladt klient-IP med gyldigt login og forstå, hvad Basic-godkendelse beskytter.

Denne procedure føjer NCSA-baseret Basic-godkendelse til en kildebegrænset Squid 6.13-proxy. Debian 13's hjælper er /usr/lib/squid/basic_ncsa_auth; bekræft sti og tjenestekonto for din pakke.

Opret den første konto

Brug distributionens htpasswd-værktøj, og indtast adgangskoden interaktivt:

sudo htpasswd -c /etc/squid/users proxyuser
sudo chown root:proxy /etc/squid/users
sudo chmod 640 /etc/squid/users

Ejerskabet forudsætter Debians tjenestegruppe. Squid skal kunne læse filen; andre brugere bør ikke. Udelad -c for senere konti, da det opretter en ny fil og kan erstatte eksisterende poster.

Kræv kilde og login i samme tilladelsesregel

Placer disse efter de eksisterende værn for destinationsporte, administration, localhost og link-local-adresser:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/users
auth_param basic realm PrivateProxy

acl proxy_client src 198.51.100.27/32
acl logged_in proxy_auth REQUIRED

http_access allow proxy_client logged_in
http_access deny all

Erstat klientadressen med den kilde, Squid ser. Begge betingelser skal passe. Fjern tidligere brede klienttilladelser, der ville omgå loginreglen, men behold lytter- og firewallbegrænsninger.

Analyser, genindlæs og sammenlign to forespørgsler

sudo squid -k parse -f /etc/squid/squid.conf

Ret parserfejl og genindlæs den administrerede Squid-tjeneste før test. Fra en tilladt kilde bør en forespørgsel uden loginoplysninger modtage en godkendelsesudfordring. Sammenlign med en godkendt forespørgsel med proxyens rigtige værtsnavn:

curl --proxy http://proxy.example:3128 --proxy-basic --proxy-user proxyuser --noproxy '' --connect-timeout 5 --max-time 15 https://example.com/

Angives kun brugernavnet, beder curl om adgangskoden. En gyldig forespørgsel bør nå destinationen.

Basic-godkendelse krypterer ikke udvekslingen mellem klient og proxy. Senere HTTPS til destinationen kan ikke beskytte loginoplysninger, der allerede er sendt til en klartekstproxy; brug en passende beskyttet vej. Direktiverne gælder Squid 6.13; se versionsspecifik konfiguration for Squid 8.

Relaterede artikler