Jusqu'où une règle MAC de Squid peut-elle aller ?
Comprenez ce que Squid peut apprendre de l'adresse MAC d'un client sur un lien local et ce qui disparaît derrière un routeur.
Une règle de proxy fondée sur la MAC peut fonctionner pour un poste voisin du serveur Squid et échouer pour un poste pourtant identique sur un autre sous-réseau. Le routeur change ce que le proxy peut observer.
ARP résout l'adresse de couche liaison d'un voisin IPv4 sur le lien local. Il ne transporte pas l'adresse Ethernet d'origine à chaque saut routé. Un client joint par une route distante n'est donc pas équivalent à un voisin directement connecté simplement parce que Squid voit son adresse IP.
Pour IPv4, la documentation ACL de Squid limite la recherche MAC aux clients du même sous-réseau et exige une compilation disposant du support correspondant. Vérifiez ces deux conditions avant de prendre une ACL MAC qui ne correspond pas pour une faute de frappe.
Utilisez l'identifiant à la bonne frontière
Pour des clients directement connectés, une règle MAC prise en charge peut décrire une condition réseau au niveau de l'appareil. Elle n'authentifie toujours pas la personne qui utilise cet appareil. Elle ne rend pas non plus une adresse matérielle déclarée impossible à modifier.
Derrière un routeur, utilisez les informations disponibles sur le proxy : un sous-réseau source maîtrisé, une identité de proxy authentifiée ou une intégration d'identité de confiance conçue explicitement. Lire la table des baux d'un serveur DHCP est un système de corrélation supplémentaire, pas une extension de la portée d'ARP.
Quand vous relisez une règle, tracez le chemin du client jusqu'à Squid et marquez chaque routeur. Demandez ensuite si la compilation installée prend réellement en charge l'ACL et le mode de recherche. Ces deux vérifications expliquent bien plus que de recoller sans cesse la MAC du client dans la même règle.