Credenciais de Apache ProxyRemote fronte a proxy-chain-auth

Un cliente pode autenticarse nun proxy directo de Apache cunha conta mentres Apache se autentica nun proxy pai con outra:

client ── client account ── Apache ── parent account ── parent proxy

Para unha conta fixa do proxy pai en httpd 2.4.59 ou posterior, ProxyRemote acepta un terceiro argumento:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Isto complementa a configuración existente de proxy directo con control de acceso, como un escoitador privado que require tanto unha IP de cliente como un inicio de sesión de proxy. A conta pertence ao pai escollido. Protexa a configuración que a contén e escolla o ámbito de coincidencia que requira o despregamento.

Apache envía estas credenciais Basic de forma anticipada, sen esperar primeiro un desafío. Iso fai importantes o transporte e a política de contas da conexión ao pai; a sesión HTTPS posterior do sitio web non protexe por si mesma un salto HTTP en claro cara ao pai.

Cando debe continuar a mesma conta entrante

Normalmente Apache consome a autenticación de proxy dirixida a el mesmo. Pola contra, a opción de contorno proxy-chain-auth permite reenviar as credenciais de proxy do cliente ao seguinte proxy:

SetEnv proxy-chain-auth On

Isto só é axeitado para unha cadea de autenticación compartida de forma intencionada. Pasa adiante o material da conta entrante; non inventa un nome de usuario e un contrasinal distintos para o pai.

Co argumento explícito de credenciais de ProxyRemote, proxy-chain-auth non ten efecto. Escolla a fonte de credenciais deliberadamente en lugar de superpoñer ambas as opcións coa esperanza de que se seleccione o contrasinal que funcione.

Estes mecanismos autentican os saltos de proxy. A cabeceira Authorization dun sitio web de destino segue a ser un intercambio aparte.