Ορισμός χωριστών διαπιστευτηρίων για parent proxy του Squid

Τα διαπιστευτήρια χρήστη στην υπηρεσία Squid και τα διαπιστευτήρια του Squid προς τον parent είναι διαφορετικά. Ο parent μπορεί να ανήκει σε άλλον διαχειριστή ή να χρησιμοποιεί άλλη βάση λογαριασμών. Η αποδοχή κωδικού πελάτη δεν σημαίνει ότι πρέπει να τον προωθήσετε upstream.

Το Squid 6.13 μπορεί να προσθέσει στατική σύνδεση στον ορισμό parent:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Η διεύθυνση και ο κωδικός παραπάνω είναι παραδείγματα τεκμηρίωσης. Προσθέστε τη σύνδεση στον υπάρχοντα ορισμό parent αντί να δημιουργήσετε κατά λάθος δεύτερο peer. Διατηρήστε τη χωριστή πολιτική δρομολόγησης που ορίζει ποια αιτήματα πρέπει να χρησιμοποιούν αυτόν τον parent.

Διαχωρίστε τα πεδία εφαρμογής λογαριασμών

Οι downstream ρυθμίσεις auth_param επαληθεύουν τους πελάτες της εγκατάστασης Squid. Η επιλογή login του peer παρέχει διαπιστευτήρια για άλλο άλμα. Η αλλαγή του ενός δεν ενημερώνει αυτόματα το άλλο.

Ακολουθήστε τις τεκμηριωμένες απαιτήσεις ελέγχου ταυτότητας του parent. Αυτή η γραμμή δεν είναι πλήρης διαμόρφωση για κάθε σχήμα ελέγχου ταυτότητας προσανατολισμένο στη σύνδεση. Αν ο parent αναμένει NTLM ή Negotiate, ελέγξτε την υποστηριζόμενη διάταξη peer αντί να αλλάζετε συνεχώς τον κωδικό στο πεδίο.

Το Squid έχει και επιλογές προώθησης διαπιστευτηρίων όπως PASS και PASSTHRU. Η σημασία τους διαφέρει από ειδικό λογαριασμό upstream και μπορούν να εκθέσουν πληροφορίες ταυτότητας του πελάτη στον peer. Μην τις επιλέγετε ως συντόμευση αν ο σχεδιασμός προβλέπει χωριστούς λογαριασμούς.

Προστατέψτε τη διαμόρφωση και δοκιμάστε το σωστό άλμα

Το στατικό μυστικό αποθηκεύεται στη διαμόρφωση. Περιορίστε πρόσβαση σε αρχεία και αντίγραφα και αφαιρέστε ευαίσθητα στοιχεία από έξοδο αναλυτή ή αποσφαλμάτωσης πριν τη μοιραστείτε. Η επιλογή έχει δικούς της κανόνες διαφυγής: η τεκμηρίωση επιτρέπει διαφυγές URL και απαιτεί διπλασιασμό του κυριολεκτικού χαρακτήρα ποσοστού.

Αν οι πελάτες αυθεντικοποιούνται αλλά τα προωθούμενα αιτήματα εξακολουθούν να αποτυγχάνουν στον parent, εξετάστε αυτή την ανταλλαγή upstream και τον λογαριασμό. Διαχωρίστε και την προστασία μεταφοράς πελάτη–Squid και Squid–parent· η κρυπτογράφηση της πρώτης σύνδεσης δεν ασφαλίζει αυτόματα τη δεύτερη.