Apache ProxyRemote hitelesítő adatok kontra proxy-chain-auth

Az ügyfél az egyik fiókkal hitelesítheti magát az Apache előremenő proxy felé, míg az Apache egy másikkal hitelesít a szülőproxy felé:

client ── client account ── Apache ── parent account ── parent proxy

Rögzített szülőfiók esetén a httpd 2.4.59 vagy újabb verzióján a ProxyRemote elfogad egy harmadik argumentumot:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Ez kiegészíti a meglévő hozzáférés-vezérelt előremenő proxy konfigurációt, például egy privát figyelőt, amely egyszerre igényel ügyfél-IP-t és proxybejelentkezést. A fiók a kiválasztott szülőhöz tartozik. Védje a fiókot tartalmazó konfigurációt, és válassza ki a telepítés által megkövetelt egyeztetési hatókört.

Az Apache ezeket a Basic hitelesítő adatokat előre elküldi, anélkül hogy előbb kihívásra várna. Emiatt a szülőkapcsolat átvitele és fiókpolitikája fontos; a webhely későbbi HTTPS-munkamenete önmagában nem védi a szülő felé tett nyílt HTTP-ugrást.

Mikor kell ugyanannak a bejövő fióknak folytatódnia

Az Apache általában a saját magának címzett proxyhitelesítést használja fel. A proxy-chain-auth környezeti beállítás ehelyett engedélyezi az ügyfél proxyhitelesítő adatainak továbbítását a következő proxy felé:

SetEnv proxy-chain-auth On

Ez csak szándékosan megosztott hitelesítési lánchoz alkalmas. Továbbadja a bejövő fiók anyagát; nem talál ki más szülői felhasználónevet és jelszót.

A ProxyRemote kifejezett hitelesítőadat-argumentumával a proxy-chain-auth hatástalan. Válassza meg tudatosan a hitelesítő adatok forrását, ahelyett hogy mindkét beállítást egymásra rétegelné abban a reményben, hogy a működő jelszó lesz kiválasztva.

Ezek a mechanizmusok a proxyugrásokat hitelesítik. A célwebhely Authorization fejléce továbbra is külön csere.