Hvor langt kan en Squid-MAC-regel nå?
Forstå, hvad Squid kan lære af en klients MAC-adresse på et lokalt link, og hvad der forsvinder bag en router.
En MAC-baseret proxyregel kan virke for en stationær computer ved siden af Squid-serveren og fejle for en ellers identisk computer på et andet subnet. Routeren ændrer, hvad proxyen kan observere.
ARP opløser en IPv4-nabos linklagsadresse på det lokale link. Den bærer ikke den oprindelige Ethernet-adresse gennem hvert rutet hop. Derfor er en klient, der nås via en fjern rute, ikke ligestillet med en direkte tilsluttet nabo, blot fordi Squid kan se dens IP-adresse.
For IPv4 begrænser Squids ACL-dokumentation MAC-opslag til klienter på samme subnet og kræver en build med den relevante understøttelse. Kontrollér begge betingelser, før du opfatter en MAC-ACL, der ikke matcher, som en stavefejl.
Brug identifikatoren ved den rigtige grænse
For direkte tilsluttede klienter kan en understøttet MAC-regel beskrive en netværkstilstand på enhedsniveau. Den godkender stadig ikke personen, der betjener enheden. Og den gør ikke en rapporteret hardwareadresse umulig at ændre.
Bag en router skal du bruge oplysninger, der er tilgængelige på proxyen: et kontrolleret kildesubnet, en godkendt proxyidentitet eller en udtrykkeligt designet integration med en betroet identitet. At læse en DHCP-servers leasetabel er et ekstra korrelationssystem, ikke en forlængelse af ARPs rækkevidde.
Når du gennemgår en regel, tegn så stien fra klient til Squid og markér hver router. Spørg derefter, om den installerede build faktisk understøtter ACL'en og opslagsmodus. De to kontroller forklarer langt mere end at indsætte klientens MAC i den samme regel igen og igen.