Définir des identifiants distincts pour un parent Squid

Les identifiants d’un utilisateur de votre service Squid et ceux de Squid auprès de son parent sont différents. Le parent peut appartenir à un autre opérateur ou utiliser une autre base de comptes. Accepter le mot de passe d’un client ne signifie pas qu’il faut le transmettre en amont.

Squid 6.13 peut associer une connexion statique à la définition d’un parent :

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

L’adresse et le mot de passe ci-dessus sont des exemples de documentation. Ajoutez les identifiants à la définition du parent existant pour ne pas créer accidentellement un second pair. Conservez la politique de routage distincte qui détermine quelles requêtes doivent utiliser ce parent.

Distinguer la portée des comptes

Les paramètres auth_param en aval valident les clients de votre instance Squid. L’option login du pair fournit les identifiants d’un autre saut. Modifier l’un ne met pas automatiquement l’autre à jour.

Respectez les exigences d’authentification documentées du parent. Cette ligne ne constitue pas une configuration complète pour tous les mécanismes d’authentification orientés connexion. Si le parent attend NTLM ou Negotiate, vérifiez la configuration de pair prise en charge au lieu de changer sans cesse le mot de passe de ce champ.

Squid propose aussi des options de transmission d’identifiants comme PASS et PASSTHRU. Leur sémantique diffère de celle d’un compte amont dédié et elles peuvent révéler au pair des informations d’authentification du client. Ne les utilisez pas comme raccourci si la conception prévoit des comptes séparés.

Protéger la configuration et tester le bon saut

Le secret statique est stocké dans la configuration. Limitez l’accès aux fichiers et aux sauvegardes, et expurgez les sorties d’analyse ou de débogage avant de les partager. L’option a ses propres règles d’échappement : la documentation autorise les échappements URL et impose de doubler un caractère pourcentage littéral.

Si les clients s’authentifient mais que les requêtes transmises échouent encore au parent, inspectez cet échange amont et le compte. Distinguez aussi la protection du transport client–Squid et Squid–parent ; chiffrer la première connexion ne sécurise pas automatiquement la seconde.