Configurar credenciales separadas para un proxy padre de Squid

Las credenciales del usuario de su servicio Squid y las de Squid para acceder al padre son distintas. El padre puede pertenecer a otro operador o usar otra base de cuentas. No suponga que aceptar la contraseña de un cliente implica enviarla al servidor ascendente.

Squid 6.13 puede añadir un acceso estático a la definición de un padre:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

La dirección y la contraseña anteriores son ejemplos de documentación. Aplique el acceso a la definición del padre existente para no crear accidentalmente un segundo par. Conserve la política de enrutamiento separada que decide qué solicitudes deben usar ese padre.

Mantener separados los ámbitos de las cuentas

La configuración auth_param descendente valida a los clientes de su instancia de Squid. La opción login del par proporciona credenciales para otro salto. Cambiar una parte no actualiza automáticamente la otra.

Cumpla los requisitos de autenticación documentados del padre. Esta línea no es una configuración completa para todos los esquemas de autenticación orientados a conexión. Si el padre espera NTLM o Negotiate, compruebe la configuración de pares admitida en vez de cambiar repetidamente la contraseña de este campo.

Squid también tiene opciones de transmisión de credenciales como PASS y PASSTHRU. Su semántica difiere de una cuenta ascendente dedicada y pueden exponer al par información de autenticación del cliente. No las elija como atajo si el diseño previsto usa cuentas separadas.

Proteger la configuración y probar el salto correcto

El secreto estático se guarda en la configuración. Limite el acceso a archivos y copias de seguridad y elimine datos sensibles de la salida del analizador o de depuración antes de compartirla. La opción tiene reglas de escape propias: la documentación permite escapes URL y exige duplicar el carácter de porcentaje literal.

Si los clientes se autentican pero las solicitudes reenviadas siguen fallando en el padre, revise ese intercambio ascendente y la cuenta. Separe también la protección del transporte cliente–Squid y Squid–padre; cifrar la primera conexión no protege automáticamente la segunda.