Hacer que Apache exija la IP del cliente y el acceso al proxy

Combina en Apache 2.4 la autenticación del proxy y las restricciones de dirección del cliente sin permitir que una sola condición conceda acceso.

Cuando un proxy directo de Apache 2.4 debe exigir tanto la dirección de origen aprobada como un inicio de sesión válido, usa <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Integra este fragmento de autorización en el proxy restringido existente. Sustituye la dirección del cliente y la ruta del archivo de cuentas; los módulos de autenticación y autorización deben estar disponibles, y el archivo ya debe contener a los usuarios previstos. No es un despliegue completo del listener.

Dos detalles determinan la política. El contenedor expresa AND; colocar requisitos positivos uno junto a otro no exige necesariamente todos. Require valid-user acepta una cuenta autenticada, mientras Require user alice nombra una cuenta concreta. Un Require user aislado no expresa nada. Consulta la referencia de Apache sobre autorización de usuarios.

OrigenInicio de sesiónResultado requerido
PermitidoVálidoSe permite la solicitud autorizada prevista.
PermitidoFalta o es inválidoNo hay reenvío autorizado.
Fuera del origen permitidoVálidoNo hay reenvío autorizado.

Antes de confiar en el fragmento, revisa el host virtual que lo contiene y otras secciones de autorización coincidentes; prueba el límite de autorización una configuración más específica puede cambiar el resultado efectivo. El inicio de sesión Basic también necesita un transporte cliente-proxy protegido. El HTTPS del destino comienza después y no protege el intercambio anterior de credenciales en claro.

Artículos relacionados