Apache ProxyRemote-legitimationsoplysninger kontra proxy-chain-auth

En klient kan godkende sig over for en Apache-videresendelsesproxy med én konto, mens Apache godkender sig over for en overordnet proxy med en anden:

client ── client account ── Apache ── parent account ── parent proxy

For en fast konto til den overordnede proxy på httpd 2.4.59 eller nyere accepterer ProxyRemote et tredje argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Dette supplerer den eksisterende adgangsstyrede videresendelsesproxy-konfiguration, f.eks. en privat listener, der kræver både en klient-IP og et proxy-login. Kontoen tilhører den valgte overordnede proxy. Beskyt konfigurationen, der indeholder den, og vælg det matchomfang, som udrulningen kræver.

Apache sender disse Basic-legitimationsoplysninger på forhånd uden først at vente på en udfordring. Det gør transporten og kontopolitikken for den overordnede forbindelse vigtig; webstedets senere HTTPS-session beskytter ikke i sig selv et klartekst-HTTP-hop til den overordnede proxy.

Hvornår den samme indgående konto skal fortsætte

Apache forbruger normalt proxy-godkendelse rettet mod sig selv. Miljøindstillingen proxy-chain-auth tillader i stedet at videresende klientens proxy-legitimationsoplysninger til den næste proxy:

SetEnv proxy-chain-auth On

Dette er kun passende for en bevidst delt godkendelseskæde. Den sender det indgående kontomateriale videre; den opfinder ikke et andet brugernavn og en anden adgangskode til den overordnede proxy.

Med ProxyRemotes eksplicitte legitimationsargument har proxy-chain-auth ingen virkning. Vælg legitimationskilden bevidst i stedet for at lægge begge indstillinger oven på hinanden i håb om, at den adgangskode, der virker, bliver valgt.

Disse mekanismer godkender proxy-hop. Et destinationswebsteds Authorization-header forbliver en separat udveksling.