Kiom malproksimen povas atingi MAC-regulo de Squid?
Komprenu, kion Squid povas lerni el la MAC-adreso de kliento sur loka ligo kaj kio malaperas malantaŭ enkursigilo.
MAC-bazita prokura regulo povas funkcii por komputilo apud la Squid-servilo kaj malsukcesi por alie identa komputilo en alia subreto. La enkursigilo ŝanĝas tion, kion la prokuro povas observi.
ARP solvas la ligtavolan adreson de IPv4-najbaro sur la loka ligo. Ĝi ne portas la originan Ethernet-adreson tra ĉiu enkursigita salto. Sekve kliento atingata per fora vojo ne estas ekvivalenta al rekte konektita najbaro nur ĉar Squid povas vidi ĝian IP-adreson.
Por IPv4, la dokumentaro pri ACL de Squid limigas MAC-serĉadon al klientoj en la sama subreto kaj postulas konstruaĵon kun la koncerna subteno. Kontrolu ambaŭ kondiĉojn antaŭ ol trakti neakordiĝantan MAC-ACL kiel literumadan eraron.
Uzu la identigilon ĉe la ĝusta limo
Por rekte konektitaj klientoj, subtenata MAC-regulo povas priskribi retan kondiĉon je aparata nivelo. Ĝi tamen ne aŭtentikigas la personon, kiu uzas tiun aparaton. Nek ĝi malebligas ŝanĝi raportitan aparatan adreson.
Malantaŭ enkursigilo uzu informojn haveblajn ĉe la prokuro: kontrolitan fontan subreton, aŭtentikigitan prokuran identecon aŭ eksplicite projektitan integriĝon de fidinda identeco. Legi la luprenan tabelon de DHCP-servilo estas plia korelacia sistemo, ne etendo de la atingopovo de ARP.
Kiam vi revizias regulon, desegnu la vojon de la kliento al Squid kaj marku ĉiun enkursigilon. Poste demandu, ĉu la instalita konstruaĵo vere subtenas la ACL kaj la serĉan reĝimon. Tiuj du kontroloj klarigas multe pli ol ripete enmeti la MAC de la kliento en la saman regulon.