Apache-forwardproxy-godkendelse: Require og AuthMerging
Følg godkendelse af global og virtuel vært-proxy gennem Apaches regler for sammenfletning af sektioner i stedet for at behandle proxy.conf som et separat politiklag.
En regel i proxy.conf er ikke en særlig klasse af regler. Apache læser inkluderet konfiguration ind i sit konfigurationstræ; den omgivende globale sektion, VirtualHost eller matchende sektion bestemmer, hvordan direktivet deltager.
Start med den listener og virtuelle vært, der betjener forwardproxy-anmodningen. Indsaml derefter de matchende Proxy-sektioner fra den kontekst og hovedkonfigurationen. Rækkefølgen, hvori sektioner behandles, er vigtig, ikke blot hvilken fil der blev redigeret sidst.
Godkendelse er ikke altid kumulativ
Med standardadfærden AuthMerging Off nedarves godkendelse, indtil en senere anvendelig sektion leverer sin egen godkendelseslogik. Den nye logik kan erstatte de foregående krav i stedet for at tilføje endnu en begrænsning.
| Indstilling | Kombination med den nærmeste foregående godkendelsessektion |
|---|---|
| Off | Ny godkendelse kan tilsidesætte nedarvet logik |
| And | Begge sæt skal godkende |
| Or | Ethvert af sættene kan godkende |
AuthMerging er selv lokal for den sektion, der indeholder det. Antag ikke, at en enkelt indstilling af And ændrer hver senere sektion.
Hold den tilsigtede politik eksplicit, hvor det er muligt. To Require-linjer uden en omgivende godkendelsesbeholder er implicit alternativer, så en IP-regel plus valid-user er ikke automatisk »IP og bruger«. Brug RequireAll, når begge betingelser hører til samme beslutning.
Gennemgå den komplette matchende konfiguration, før du ændrer en proxykonto eller åbner adgang. Test derefter de tilladte og afviste tilfælde mod den kørende listener. En anmodning kan afvises—eller uventet tillades—fordi en anden sektion leverede den effektive godkendelse.