Ata onde pode chegar unha regra MAC de Squid?
Entenda que pode aprender Squid do enderezo MAC dun cliente nunha ligazón local e que desaparece ao cruzar un encamiñador.
Unha regra de proxy baseada en MAC pode funcionar para un equipo xunto ao servidor Squid e fallar para un equipo por demais idéntico noutra subrede. O encamiñador cambia o que o proxy pode observar.
ARP resolve o enderezo de capa de ligazón dun veciño IPv4 na ligazón local. Non transporta o enderezo Ethernet orixinal por cada salto encamiñado. Por iso un cliente alcanzado por unha ruta remota non equivale a un veciño conectado directamente só porque Squid vexa o seu enderezo IP.
Para IPv4, a documentación de ACL de Squid limita a busca por MAC aos clientes da mesma subrede e require unha compilación co soporte correspondente. Comprobe ambas condicións antes de tomar unha ACL MAC que non coincide como un erro de escritura.
Use o identificador na fronteira correcta
Para clientes conectados directamente, unha regra MAC admitida pode describir unha condición de rede a nivel de dispositivo. Aínda así non autentica a persoa que manexa ese dispositivo. Tampouco fai imposible cambiar un enderezo de hardware declarado.
Ao cruzar un encamiñador, use información dispoñible no proxy: unha subrede de orixe controlada, unha identidade de proxy autenticada ou unha integración de identidade de confianza deseñada explicitamente. Ler a táboa de concesións dun servidor DHCP é un sistema de correlación adicional, non unha extensión do alcance de ARP.
Ao revisar unha regra, debuxe a ruta do cliente a Squid e marque cada encamiñador. Despois pregunte se a compilación instalada admite de verdade a ACL e o modo de busca. Esas dúas comprobacións explican moito máis que pegar repetidamente o MAC do cliente na mesma regra.