Autorización del proxy directo en Apache: Require y AuthMerging
Siga la autorización del proxy global y del host virtual mediante las reglas de fusión de secciones de Apache, en lugar de tratar proxy.conf como una capa de políticas aparte.
Una regla en proxy.conf no es una clase especial de regla. Apache lee la configuración incluida en su árbol de configuración; la sección global, el VirtualHost o la sección coincidente que la envuelve determina cómo participa la directiva.
Empiece por el listener y el host virtual que atienden la solicitud de proxy directo. Después reúna las secciones Proxy coincidentes de ese contexto y de la configuración principal. Importa el orden de procesamiento de las secciones, no solo qué archivo se editó al final.
La autorización no siempre es acumulativa
Con el comportamiento predeterminado AuthMerging Off, la autorización se hereda hasta que una sección aplicable posterior aporta su propia lógica de autorización. Esa lógica nueva puede sustituir los requisitos anteriores en lugar de añadir otra restricción.
| Ajuste | Combinación con la sección de autorización anterior más cercana |
|---|---|
| Off | La nueva autorización puede anular la lógica heredada |
| And | Ambos conjuntos deben autorizar |
| Or | Cualquiera de los dos conjuntos puede autorizar |
AuthMerging es local a la sección que lo contiene. No dé por hecho que configurar And una vez cambia todas las secciones posteriores.
Mantenga explícita la política deseada siempre que sea posible. Dos líneas Require sin un contenedor de autorización que las envuelva son alternativas implícitas, así que una regla de IP más valid-user no es automáticamente «IP y usuario». Utilice RequireAll cuando ambas condiciones pertenecen a la misma decisión.
Revise la configuración coincidente completa antes de cambiar una cuenta de proxy o abrir el acceso. Luego pruebe los casos permitidos y denegados contra el listener en ejecución. Una solicitud puede rechazarse—o permitirse inesperadamente—porque otra sección aportó la autorización efectiva.