Apache ProxyRemote'i volitused vs proxy-chain-auth

Klient saab Apache'i edasiprotsessis autentida ühe kontoga, samal ajal kui Apache autendib end ülemproksiga teise kontoga:

client ── client account ── Apache ── parent account ── parent proxy

Fikseeritud ülemproksi konto jaoks httpd 2.4.59 või uuemas versioonis võtab ProxyRemote vastu kolmanda argumendi:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

See täiendab olemasolevat juurdepääsukontrolliga edasiprotsi konfiguratsiooni, näiteks privaatset kuulajat, mis nõuab nii kliendi IP-d kui ka proksile sisselogimist. Konto kuulub valitud ülemproksile. Kaitske seda sisaldavat konfiguratsiooni ja valige juurutuse nõutav vastavusulatus.

Apache saadab need Basic-volitused ennetavalt, ootamata esmalt väljakutset. Seetõttu on ülemproksi ühenduse transport ja kontopoliitika olulised; saidi hilisem HTTPS-seanss ei kaitse ise selge tekstiga HTTP-hüpet ülemproksini.

Millal peaks sama sissetulev konto jätkuma

Apache tarbib tavaliselt temale adresseeritud proksiautentimist. Keskkonnaseade proxy-chain-auth lubab selle asemel edastada kliendi proksivolitsused järgmisele proksile:

SetEnv proxy-chain-auth On

See sobib ainult teadlikult jagatud autentimisahela jaoks. See annab sissetuleva konto materjali edasi; see ei leiuta erinevat ülemproksi kasutajanime ja parooli.

ProxyRemote'i selgesõnalise volituste argumendiga ei ole proxy-chain-auth mingit mõju. Valige volituste allikas teadlikult, selle asemel et kihistada mõlemat seadet lootuses, et valitakse parool, mis töötab.

Need mehhanismid autendivad proksihüppeid. Sihtsaidil olev Authorization-päis jääb eraldi vahetuseks.