Διαπιστευτήρια Apache ProxyRemote έναντι proxy-chain-auth

Ένας πελάτης μπορεί να πιστοποιηθεί σε έναν μπροστινό proxy του Apache με έναν λογαριασμό, ενώ ο Apache πιστοποιείται σε έναν γονικό proxy με άλλον:

client ── client account ── Apache ── parent account ── parent proxy

Για σταθερό λογαριασμό γονικού proxy σε httpd 2.4.59 ή νεότερο, το ProxyRemote δέχεται τρίτο όρισμα:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Αυτό συμπληρώνει την υπάρχουσα διαμόρφωση μπροστινού proxy με έλεγχο πρόσβασης, όπως έναν ιδιωτικό ακροατή που απαιτεί και IP πελάτη και σύνδεση proxy. Ο λογαριασμός ανήκει στον επιλεγμένο γονικό proxy. Προστατέψτε τη διαμόρφωση που τον περιέχει και επιλέξτε το εύρος αντιστοίχισης που απαιτεί η ανάπτυξη.

Ο Apache στέλνει αυτά τα διαπιστευτήρια Basic εκ των προτέρων, χωρίς να περιμένει πρώτα πρόκληση. Αυτό καθιστά σημαντικά τη μεταφορά και την πολιτική λογαριασμών της σύνδεσης προς τον γονικό proxy· η μεταγενέστερη συνεδρία HTTPS του ιστότοπου δεν προστατεύει από μόνη της ένα άλμα HTTP σε καθαρό κείμενο προς τον γονικό proxy.

Πότε πρέπει να συνεχίσει ο ίδιος εισερχόμενος λογαριασμός

Ο Apache συνήθως καταναλώνει την πιστοποίηση proxy που απευθύνεται στον ίδιο. Η ρύθμιση περιβάλλοντος proxy-chain-auth αντίθετα επιτρέπει την προώθηση των διαπιστευτηρίων proxy του πελάτη στον επόμενο proxy:

SetEnv proxy-chain-auth On

Αυτό είναι κατάλληλο μόνο για μια σκόπιμα κοινόχρηστη αλυσίδα πιστοποίησης. Περνά προς τα εμπρός το υλικό του εισερχόμενου λογαριασμού· δεν επινοεί διαφορετικό όνομα χρήστη και κωδικό πρόσβασης γονικού proxy.

Με το ρητό όρισμα διαπιστευτηρίων του ProxyRemote, το proxy-chain-auth δεν έχει κανένα αποτέλεσμα. Επιλέξτε συνειδητά την πηγή διαπιστευτηρίων αντί να στρώσετε και τις δύο ρυθμίσεις ελπίζοντας ότι θα επιλεγεί ο κωδικός που λειτουργεί.

Αυτοί οι μηχανισμοί πιστοποιούν τα άλματα proxy. Η κεφαλίδα Authorization ενός ιστότοπου προορισμού παραμένει ξεχωριστή ανταλλαγή.