Separate Zugangsdaten für einen Squid-Parent festlegen

Der Login eines Benutzers bei Ihrem Squid-Dienst und Squids Login beim Parent sind verschiedene Zugangsdaten. Der Parent kann einem anderen Betreiber gehören oder eine andere Kontendatenbank verwenden. Nehmen Sie nicht an, dass ein angenommenes Client-Passwort deshalb upstream weitergereicht werden sollte.

Squid 6.13 kann einer Parent-Definition einen statischen Login hinzufügen:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Adresse und Passwort oben sind Dokumentationsbeispiele. Ergänzen Sie den Login an der vorhandenen Parent-Definition, statt versehentlich einen zweiten Peer anzulegen. Behalten Sie die separate Routing-Richtlinie bei, die festlegt, welche Anfragen diesen Parent verwenden müssen.

Kontenbereiche getrennt halten

Die nachgelagerten auth_param-Einstellungen prüfen Clients Ihrer Squid-Instanz. Die Login-Option des Peers liefert Zugangsdaten für einen anderen Hop. Eine Änderung auf einer Seite aktualisiert die andere nicht automatisch.

Erfüllen Sie die dokumentierten Authentifizierungsanforderungen des Parents. Diese Zeile ist keine vollständige Konfiguration für jedes verbindungsorientierte Authentifizierungsverfahren. Erwartet der Parent NTLM oder Negotiate, prüfen Sie die unterstützte Peer-Anordnung, statt wiederholt das Passwort in diesem Feld zu ändern.

Squid bietet auch Optionen zur Weitergabe von Zugangsdaten wie PASS und PASSTHRU. Ihre Bedeutung unterscheidet sich von einem eigenen Upstream-Konto; sie können dem Peer Client-Authentifizierungsinformationen offenlegen. Wählen Sie sie nicht als Abkürzung, wenn getrennte Konten vorgesehen sind.

Konfiguration schützen und den richtigen Hop testen

Das statische Geheimnis steht in der Konfiguration. Beschränken Sie den Zugriff auf Dateien und Sicherungen und bereinigen Sie Parser- oder Debug-Ausgaben vor dem Teilen. Die Option hat eigene Escape-Regeln: Die Dokumentation erlaubt URL-Escapes und verlangt die Verdoppelung eines wörtlichen Prozentzeichens.

Wenn Clients sich erfolgreich authentifizieren, weitergeleitete Anfragen aber beim Parent scheitern, prüfen Sie diesen Upstream-Austausch und das Konto. Betrachten Sie auch den Transportschutz von Client zu Squid und von Squid zu Parent getrennt; die erste Verbindung zu verschlüsseln schützt die zweite nicht automatisch.