¿Hasta dónde puede llegar una regla MAC de Squid?

Una regla de proxy basada en MAC puede funcionar para un equipo junto al servidor Squid y fallar para un equipo por lo demás idéntico en otra subred. El enrutador cambia lo que el proxy puede observar.

ARP resuelve la dirección de capa de enlace de un vecino IPv4 en el enlace local. No transporta la dirección Ethernet original por cada salto enrutado. Por eso un cliente alcanzado por una ruta remota no equivale a un vecino conectado directamente solo porque Squid vea su dirección IP.

Para IPv4, la documentación de ACL de Squid limita la búsqueda por MAC a los clientes de la misma subred y exige una compilación con el soporte correspondiente. Compruebe ambas condiciones antes de tomar una ACL de MAC que no coincide como un error de escritura.

Use el identificador en la frontera correcta

Para clientes conectados directamente, una regla MAC admitida puede describir una condición de red a nivel de dispositivo. Aun así no autentica a la persona que maneja ese dispositivo. Tampoco hace imposible cambiar una dirección de hardware declarada.

Al cruzar un enrutador, use información disponible en el proxy: una subred de origen controlada, una identidad de proxy autenticada o una integración de identidad de confianza diseñada explícitamente. Leer la tabla de concesiones de un servidor DHCP es un sistema de correlación adicional, no una extensión del alcance de ARP.

Al revisar una regla, dibuje la ruta del cliente a Squid y marque cada enrutador. Luego pregunte si la compilación instalada admite de verdad la ACL y el modo de búsqueda. Esas dos comprobaciones explican mucho más que pegar repetidamente la MAC del cliente en la misma regla.