Credenciales de Apache ProxyRemote frente a proxy-chain-auth

Un cliente puede autenticarse en un proxy directo de Apache con una cuenta mientras Apache se autentica en un proxy principal con otra:

client ── client account ── Apache ── parent account ── parent proxy

Para una cuenta fija del proxy principal en httpd 2.4.59 o posterior, ProxyRemote acepta un tercer argumento:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Esto complementa la configuración existente de proxy directo con control de acceso, como un escucha privado que exige tanto una IP de cliente como un inicio de sesión de proxy. La cuenta pertenece al proxy principal elegido. Proteja la configuración que la contiene y elija el alcance de coincidencia que requiera el despliegue.

Apache envía estas credenciales Basic de forma anticipada, sin esperar primero un desafío. Eso hace importantes el transporte y la política de cuentas de la conexión al proxy principal; la sesión HTTPS posterior del sitio web no protege por sí misma un salto HTTP en claro hacia el proxy principal.

Cuándo debe continuar la misma cuenta entrante

Normalmente Apache consume la autenticación de proxy dirigida a él mismo. En cambio, el ajuste de entorno proxy-chain-auth permite reenviar las credenciales de proxy del cliente al siguiente proxy:

SetEnv proxy-chain-auth On

Esto solo es adecuado para una cadena de autenticación compartida de forma intencionada. Transmite el material de la cuenta entrante; no inventa un nombre de usuario ni una contraseña distintos para el proxy principal.

Con el argumento explícito de credenciales de ProxyRemote, proxy-chain-auth no tiene efecto. Elija la fuente de credenciales deliberadamente en lugar de superponer ambos ajustes con la esperanza de que se seleccione la contraseña que funcione.

Estos mecanismos autentican los saltos de proxy. La cabecera Authorization de un sitio web de destino sigue siendo un intercambio aparte.