Kuinka kauas Squidin MAC-sääntö voi ulottua?
Ymmärrä, mitä Squid voi oppia asiakkaan MAC-osoitteesta paikallisella linkillä ja mitä katoaa reitittimen taakse.
MAC-pohjainen välityspalvelinsääntö voi toimia Squid-palvelimen vieressä olevalle työpöydälle ja epäonnistua muuten samanlaisella työpöydällä toisessa aliverkossa. Reititin muuttaa sitä, mitä välityspalvelin voi havainnoida.
ARP selvittää IPv4-naapurin linkkikerroksen osoitteen paikallisella linkillä. Se ei kuljeta alkuperäistä Ethernet-osoitetta jokaisen reititetyn hypyn läpi. Siksi etäältä reititetty asiakas ei vastaa suoraan kytkettyä naapuria vain siksi, että Squid näkee sen IP-osoitteen.
IPv4:n osalta Squidin ACL-dokumentaatio rajaa MAC-haun saman aliverkon asiakkaisiin ja vaatii asianmukaisella tuella käännetyn buildin. Tarkista molemmat ehdot ennen kuin pidät täsmäämätöntä MAC-ACL:ää kirjoitusvirheenä.
Käytä tunnistetta oikealla rajalla
Suoraan kytketyille asiakkaille tuettu MAC-sääntö voi kuvata laitetason verkkotilannetta. Se ei silti todista sitä henkilöä, joka käyttää laitetta. Eikä tee ilmoitetusta laitteisto-osoitteesta mahdotonta muuttaa.
Reitittimen takana käytä välityspalvelimella saatavilla olevia tietoja: valvottu lähde-aliverkko, todennettu välityspalvelimen identiteetti tai erikseen suunniteltu luotetun identiteetin integraatio. DHCP-palvelimen vuokrataulukon lukeminen on lisäkorrelaatiojärjestelmä, ei ARP:n ulottuvuuden laajennus.
Kun tarkastelet sääntöä, piirrä polku asiakkaasta Squidiin ja merkitse jokainen reititin. Kysy sitten, tukeeko asennettu build todella ACL:ää ja hakutapaa. Nämä kaksi tarkistusta selittävät paljon enemmän kuin asiakkaan MAC-osoitteen toistuva liittäminen samaan sääntöön.