Eraldi mandaat Squidi ülemisele puhverserverile

Kasutaja sisselogimine teie Squidi teenusesse ja Squidi sisselogimine ülemisse puhverserverisse kasutavad erinevaid mandaate. Ülemine server võib kuuluda teisele operaatorile või kasutada teist kontode andmebaasi. Kliendi parooli vastuvõtmine ei tähenda, et peaksite selle ülespoole saatma.

Squid 6.13 saab ülemise serveri määratlusele lisada staatilise sisselogimise:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Ülaltoodud aadress ja parool on dokumentatsiooni näited. Lisage sisselogimine olemasolevale ülemise serveri määratlusele, et kogemata teist partnerit mitte luua. Säilitage eraldi marsruutimispoliitika, mis otsustab, millised päringud peavad seda ülemist serverit kasutama.

Hoidke kontode ulatused lahus

Allavoolu auth_param sätted valideerivad teie Squidi eksemplari kliente. Partneri login-suvand annab mandaadi teise hüppe jaoks. Ühe muutmine ei uuenda automaatselt teist.

Järgige ülemise serveri dokumenteeritud autentimisnõudeid. See rida pole täielik seadistus iga ühenduspõhise autentimisskeemi jaoks. Kui ülemine server ootab NTLM-i või Negotiate’i, kontrollige toetatud partnerikorraldust selle asemel, et parooli väljal korduvalt muuta.

Squidil on ka mandaadi edastamise suvandid, nagu PASS ja PASSTHRU. Nende tähendus erineb eraldi ülemisest kontost ja need võivad paljastada partnerile kliendi autentimisandmed. Ärge valige neid otseteeks, kui kavand kasutab eraldi kontosid.

Kaitske seadistust ja testige õiget hüpet

Staatiline saladus salvestatakse seadistusse. Piirake failide ja varukoopiate juurdepääsu ning eemaldage enne jagamist parseri või silumise väljundist tundlikud andmed. Suvandil on oma paomärgireeglid: dokumentatsioon lubab URL-paokoode ja nõuab literaalse protsendimärgi kahekordistamist.

Kui kliendid autenditakse, kuid edastatud päringud ülemises serveris endiselt nurjuvad, uurige seda ülemist andmevahetust ja kontot. Hoidke ka kliendi–Squidi ja Squidi–ülemise serveri transpordikaitse lahus: esimese ühenduse krüptimine ei kaitse teist automaatselt.