Apache-Forward-Proxy-Autorisierung: Require und AuthMerging
Verfolgen Sie die Proxy-Autorisierung global und pro virtuellem Host über Apaches Regeln zur Abschnittszusammenführung, statt proxy.conf als eigene Richtlinienebene zu behandeln.
Eine Regel in proxy.conf ist keine besondere Regelklasse. Apache liest eingebundene Konfiguration in seinen Konfigurationsbaum; der umschließende globale Abschnitt, VirtualHost oder passende Abschnitt bestimmt, wie die Direktive teilnimmt.
Beginnen Sie beim Listener und virtuellen Host, die die Forward-Proxy-Anfrage bedienen. Sammeln Sie dann die passenden Proxy-Abschnitte aus diesem Kontext und der Hauptkonfiguration. Entscheidend ist die Reihenfolge der Abschnittsverarbeitung, nicht nur, welche Datei zuletzt bearbeitet wurde.
Autorisierung ist nicht immer kumulativ
Beim Standardverhalten AuthMerging Off wird die Autorisierung vererbt, bis ein späterer anwendbarer Abschnitt seine eigene Autorisierungslogik liefert. Diese neue Logik kann die vorherigen Anforderungen ersetzen, statt eine weitere Einschränkung hinzuzufügen.
| Einstellung | Kombination mit dem nächstgelegenen vorherigen Autorisierungsabschnitt |
|---|---|
| Off | Neue Autorisierung kann geerbte Logik überschreiben |
| And | Beide Sätze müssen autorisieren |
| Or | Jeder der Sätze darf autorisieren |
AuthMerging selbst gilt nur für den Abschnitt, der es enthält. Gehen Sie nicht davon aus, dass ein einmaliges Setzen von And jeden späteren Abschnitt ändert.
Halten Sie die beabsichtigte Richtlinie nach Möglichkeit explizit. Zwei Require-Zeilen ohne umschließenden Autorisierungscontainer sind implizit Alternativen, daher ist eine IP-Regel plus valid-user nicht automatisch „IP und Benutzer“. Verwenden Sie RequireAll, wenn beide Bedingungen zur selben Entscheidung gehören.
Prüfen Sie die vollständige passende Konfiguration, bevor Sie ein Proxy-Konto ändern oder den Zugriff öffnen. Testen Sie dann die erlaubten und die abgelehnten Fälle gegen den laufenden Listener. Eine Anfrage kann abgelehnt—oder unerwartet erlaubt—werden, weil ein anderer Abschnitt die wirksame Autorisierung geliefert hat.