פרטי הכניסה של Apache ProxyRemote לעומת proxy-chain-auth

לקוח יכול להזדהות מול פרוקסי קדמי של Apache בחשבון אחד, בעוד Apache מזדהה מול פרוקסי אב בחשבון אחר:

client ── client account ── Apache ── parent account ── parent proxy

עבור חשבון אב קבוע ב-httpd 2.4.59 ואילך, ProxyRemote מקבל ארגומנט שלישי:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

זה משלים את תצורת הפרוקסי הקדמי הקיימת עם בקרת גישה, כגון מאזין פרטי שדורש גם כתובת IP של לקוח וגם התחברות לפרוקסי. החשבון שייך לאב הנבחר. הגנו על התצורה שמכילה אותו, ובחרו את היקף ההתאמה שהפריסה דורשת.

Apache שולח את פרטי ה-Basic האלה מראש, בלי להמתין תחילה לאתגר. לכן ההובלה ומדיניות החשבונות של החיבור לאב חשובות; הפעלת ה-HTTPS המאוחרת של האתר אינה מגנה בעצמה על קפיצת HTTP בטקסט גלוי אל האב.

מתי אותו חשבון נכנס צריך להמשיך

בדרך כלל Apache צורך אימות פרוקסי המופנה אליו עצמו. הגדרת הסביבה proxy-chain-auth מאפשרת במקום זאת להעביר את פרטי הפרוקסי של הלקוח לפרוקסי הבא:

SetEnv proxy-chain-auth On

זה מתאים רק לשרשרת אימות משותפת במכוון. היא מעבירה הלאה את חומר החשבון הנכנס; היא אינה ממציאה שם משתמש וסיסמה שונים לאב.

עם ארגומנט פרטי הכניסה המפורש של ProxyRemote, ל-proxy-chain-auth אין כל השפעה. בחרו את מקור פרטי הכניסה במכוון, במקום לשכב את שתי ההגדרות בתקווה שתיבחר הסיסמה שעובדת.

מנגנונים אלה מאמתים קפיצות פרוקסי. כותרת Authorization של אתר יעד נשארת החלפה נפרדת.