Wie weit reicht eine MAC-Regel in Squid?
Verstehen Sie, was Squid aus der MAC-Adresse eines Clients an einem lokalen Link lernen kann und was hinter einem Router verloren geht.
Eine MAC-basierte Proxy-Regel kann für einen Rechner neben dem Squid-Server funktionieren und für einen ansonsten identischen Rechner in einem anderen Subnetz fehlschlagen. Der Router verändert, was der Proxy beobachten kann.
ARP löst die Link-Layer-Adresse eines IPv4-Nachbarn auf dem lokalen Link auf. Es trägt die ursprüngliche Ethernet-Adresse nicht über jeden gerouteten Hop. Ein über eine entfernte Route erreichter Client ist daher nicht deshalb einem direkt verbundenen Nachbarn gleichwertig, weil Squid seine IP-Adresse sieht.
Für IPv4 beschränkt die ACL-Dokumentation von Squid die MAC-Suche auf Clients im selben Subnetz und verlangt einen Build mit der entsprechenden Unterstützung. Prüfen Sie beide Bedingungen, bevor Sie eine nicht passende MAC-ACL für einen Tippfehler halten.
Verwenden Sie die Kennung an der richtigen Grenze
Für direkt verbundene Clients kann eine unterstützte MAC-Regel eine Netzwerkbedingung auf Geräteebene beschreiben. Sie authentifiziert weiterhin nicht die Person, die dieses Gerät bedient. Und sie macht eine gemeldete Hardwareadresse nicht unveränderlich.
Hinter einem Router nutzen Sie Informationen, die am Proxy verfügbar sind: ein kontrolliertes Quell-Subnetz, eine authentifizierte Proxy-Identität oder eine ausdrücklich entworfene Integration einer vertrauenswürdigen Identität. Das Lesen der Lease-Tabelle eines DHCP-Servers ist ein zusätzliches Korrelationssystem, keine Erweiterung der ARP-Reichweite.
Wenn Sie eine Regel prüfen, zeichnen Sie den Pfad vom Client zu Squid und markieren Sie jeden Router. Fragen Sie dann, ob der installierte Build die ACL und den Suchmodus tatsächlich unterstützt. Diese beiden Prüfungen erklären weit mehr, als die MAC des Clients immer wieder in dieselbe Regel zu kopieren.