Apache ProxyRemote -tunnistetiedot vs. proxy-chain-auth

Asiakas voi todentaa itsensä Apache-edusproxylle yhdellä tilillä, kun taas Apache todentaa itsensä yläproxylle toisella:

client ── client account ── Apache ── parent account ── parent proxy

Kiinteälle yläproxytilille httpd 2.4.59:ssä tai uudemmassa ProxyRemote hyväksyy kolmannen argumentin:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Tämä täydentää olemassa olevaa käyttöoikeusohjattua edusproxy-kokoonpanoa, kuten yksityistä kuuntelijaa, joka vaatii sekä asiakkaan IP-osoitteen että proxy-kirjautumisen. Tili kuuluu valitulle yläproxylle. Suojaa sen sisältävä kokoonpano ja valitse käyttöönoton vaatima vastaavuusalue.

Apache lähettää nämä Basic-tunnistetiedot ennakkoon odottamatta ensin haastetta. Siksi yläproxyn yhteyden siirto ja tilikäytäntö ovat tärkeitä; sivuston myöhempi HTTPS-istunto ei itsessään suojaa selkeän tekstin HTTP-hyppyä yläproxylle.

Milloin saman saapuvan tilin pitäisi jatkua

Apache kuluttaa yleensä itseensä osoitettua proxy-todennusta. Ympäristöasetus proxy-chain-auth sen sijaan sallii asiakkaan proxytunnistetietojen välittämisen seuraavalle proxylle:

SetEnv proxy-chain-auth On

Tämä sopii vain tarkoituksellisesti jaettuun todennusketjuun. Se välittää saapuvan tilitiedon eteenpäin; se ei keksi erilaista yläproxyn käyttäjänimeä ja salasanaa.

ProxyRemoten nimenomaisella tunnistetietoargumentilla proxy-chain-authilla ei ole vaikutusta. Valitse tunnistetietojen lähde harkitusti sen sijaan, että kerrostaisit molemmat asetukset toivoen, että toimiva salasana valitaan.

Nämä mekanismit todentavat proxy-hypyt. Kohdesivuston Authorization-otsake on edelleen erillinen vaihto.