הגדרת פרטי התחברות נפרדים לפרוקסי האב של Squid

פרטי הכניסה של משתמש לשירות Squid שלכם ופרטי הכניסה של Squid לפרוקסי האב הם שונים. האב עשוי להשתייך למפעיל אחר או להשתמש במסד חשבונות אחר. קבלת סיסמה מלקוח אינה אומרת שצריך להעבירה במעלה הזרם.

Squid 6.13 יכול לצרף פרטי כניסה קבועים להגדרת אב:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

הכתובת והסיסמה לעיל הן דוגמאות תיעוד. הוסיפו את פרטי הכניסה להגדרת האב הקיימת כדי לא ליצור בטעות עמית שני. שמרו על מדיניות הניתוב הנפרדת שקובעת אילו בקשות חייבות להשתמש באב הזה.

הפרידו את תחומי החשבונות

הגדרות auth_param בצד הלקוחות מאמתות את לקוחות מופע Squid שלכם. אפשרות login של העמית מספקת פרטי התחברות לקפיצה אחרת. שינוי האחד אינו מעדכן אוטומטית את האחר.

פעלו לפי דרישות האימות המתועדות של האב. שורה זו אינה הגדרה מלאה לכל מנגנון אימות מוכוון חיבור. אם האב מצפה ל־NTLM או ל־Negotiate, בדקו את תצורת העמית הנתמכת במקום לשנות שוב ושוב את הסיסמה בשדה הזה.

ל־Squid יש גם אפשרויות להעברת פרטי התחברות כמו PASS ו־PASSTHRU. משמעותן שונה מחשבון ייעודי במעלה הזרם והן עשויות לחשוף לעמית מידע על אימות הלקוח. אל תבחרו בהן כקיצור דרך כשהתכנון משתמש בחשבונות נפרדים.

הגנו על התצורה ובדקו את הקפיצה הנכונה

הסוד הקבוע נשמר בתצורה. הגבילו גישה לקבצים ולגיבויים והסירו מידע רגיש מפלט ניתוח או ניפוי שגיאות לפני שיתוף. לאפשרות יש כללי מילוט משלה: התיעוד מתיר מילוט URL ודורש להכפיל תו אחוז מילולי.

אם הלקוחות מאומתים בהצלחה אך בקשות מועברות עדיין נכשלות אצל האב, בדקו את התקשורת במעלה הזרם ואת החשבון. הפרידו גם את הגנת התעבורה לקוח–Squid ו־Squid–אב; הצפנת החיבור הראשון אינה מאבטחת אוטומטית את השני.