Erilliset tunnukset Squidin ylemmälle välityspalvelimelle

Käyttäjän tunnukset Squid-palveluusi ja Squidin tunnukset ylempään välityspalvelimeen ovat eri asia. Ylempi palvelin voi kuulua toiselle ylläpitäjälle tai käyttää eri tilitietokantaa. Asiakkaan salasanan hyväksyminen ei tarkoita, että se pitäisi välittää eteenpäin.

Squid 6.13 voi liittää kiinteän kirjautumistiedon ylemmän palvelimen määritykseen:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Yllä oleva osoite ja salasana ovat dokumentaation esimerkkejä. Lisää tunnus olemassa olevaan ylemmän palvelimen määritykseen, jotta et vahingossa luo toista peeriä. Säilytä erillinen reitityskäytäntö, joka päättää, minkä pyyntöjen on käytettävä tätä ylempää palvelinta.

Pidä tilien käyttöalueet erillään

Asiakaspuolen auth_param-asetukset todentavat Squid-instanssisi asiakkaat. Peerin login-valinta antaa tunnukset toiselle osuudelle. Toisen muuttaminen ei päivitä toista automaattisesti.

Noudata ylemmän palvelimen dokumentoituja todennusvaatimuksia. Tämä rivi ei ole täydellinen määritys jokaiselle yhteyskohtaiselle todennusmenetelmälle. Jos ylempi palvelin odottaa NTLM:ää tai Negotiatea, tarkista tuettu peer-järjestely sen sijaan, että vaihtaisit kentän salasanaa toistuvasti.

Squidissa on myös tunnusten välitysvalintoja, kuten PASS ja PASSTHRU. Niiden merkitys eroaa erillisestä ylemmän palvelimen tilistä, ja ne voivat paljastaa asiakkaan todennustietoja peerille. Älä valitse niitä oikotieksi, jos tarkoituksena ovat erilliset tilit.

Suojaa määritys ja testaa oikea osuus

Kiinteä salaisuus tallennetaan määritykseen. Rajoita tiedostojen ja varmuuskopioiden käyttöä ja poista arkaluonteiset tiedot jäsentimen tai virheenjäljityksen tulosteista ennen jakamista. Valinnalla on omat escape-sääntönsä: dokumentaatio sallii URL-escapet ja vaatii kirjaimellisen prosenttimerkin kahdentamista.

Jos asiakkaiden todennus onnistuu mutta välitetyt pyynnöt epäonnistuvat edelleen ylemmällä palvelimella, tutki kyseinen ylempi tietojenvaihto ja tili. Pidä myös asiakas–Squid- ja Squid–ylempi palvelin -siirtoyhteyksien suojaus erillään: ensimmäisen salaus ei suojaa toista automaattisesti.