Squid-Abfangen versus explizite Proxy-Authentifizierung
Erklären Sie, warum gewöhnliche explizite Proxy-Authentifizierung nicht einfach zu einem Squid-Abfang-Listener hinzugefügt werden kann.
Ein Client eines expliziten Proxys weiß, dass er mit einem Proxy spricht. Ein abgefangener Browser glaubt, er habe sich mit der Website verbunden. Dieser Unterschied ist für die Authentifizierung entscheidend.
Normale Proxy-Authentifizierung verwendet eine Proxy-Aufforderung und eine Proxy-Autorisierungsantwort. Ein Client, der keinen Proxy ausgewählt hat, sollte Proxy-Anmeldedaten nicht beiläufig an einen unerwarteten Vermittler senden.
Die Abfanganleitung von Squid unterstützt daher nicht, proxy_auth einfach mit dem Abfangmodus zu kombinieren. Ein funktionierender Basic-Authentifizierungshelfer ändert nicht, was der Browser für den entfernten Endpunkt hält.
Wenn identifizierte Benutzer einen normalen authentifizierten Forward-Proxy brauchen, konfigurieren Sie die Clients ausdrücklich, direkt oder über eine geeignete verwaltete Proxy-Konfiguration. Halten Sie diesen Listener und seine Authentifizierungsrichtlinie getrennt von einem Abfang-Listener.
Ein Authentifizierungsportal, ein Identitätssystem auf Netzwerkebene oder eine TLS-Abfanganordnung ist ein anderes Design mit anderen Anforderungen an Vertrauen und Bereitstellung. Es ist keine Ein-Zeilen-Reparatur für den fehlenden Austausch des expliziten Proxys.
Lösen Sie das Fehlen einer Aufforderung nicht dadurch, dass Sie den abgefangenen Dienst öffentlich machen oder jeden Client zulassen. Entscheiden Sie zuerst, ob die Anforderung explizite Benutzerauthentifizierung ist oder das Abfangen von Verkehr, der nie für einen Proxy konfiguriert wurde. Beides erfordert unterschiedliche Annahmen.