Kredensial Apache ProxyRemote vs. proxy-chain-auth

Klien dapat mengautentikasi ke proxy penerusan Apache dengan satu akun, sementara Apache mengautentikasi ke proxy induk dengan akun lain:

client ── client account ── Apache ── parent account ── parent proxy

Untuk akun induk tetap pada httpd 2.4.59 atau lebih baru, ProxyRemote menerima argumen ketiga:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Ini melengkapi konfigurasi proxy penerusan berbasis kontrol akses yang sudah ada, seperti pendengar privat yang mengharuskan IP klien sekaligus login proxy. Akun itu milik induk yang dipilih. Lindungi konfigurasi yang memuatnya, dan pilih cakupan pencocokan yang dibutuhkan penerapan.

Apache mengirim kredensial Basic ini lebih dulu, tanpa menunggu tantangan terlebih dahulu. Karena itu transportasi dan kebijakan akun pada koneksi induk menjadi penting; sesi HTTPS situs web yang datang kemudian tidak dengan sendirinya melindungi lompatan HTTP teks terbuka ke induk.

Kapan akun masuk yang sama harus dilanjutkan

Apache biasanya memakai autentikasi proxy yang dialamatkan kepadanya sendiri. Setelan lingkungan proxy-chain-auth justru mengizinkan penerusan kredensial proxy klien ke proxy berikutnya:

SetEnv proxy-chain-auth On

Ini hanya cocok untuk rantai autentikasi yang sengaja dibagi. Setelan itu meneruskan materi akun masuk; ia tidak mengarang nama pengguna dan kata sandi induk yang berbeda.

Dengan argumen kredensial eksplisit ProxyRemote, proxy-chain-auth tidak berpengaruh. Pilih sumber kredensial secara sadar alih-alih menumpuk kedua setelan dengan harapan kata sandi yang berfungsi akan terpilih.

Mekanisme ini mengautentikasi lompatan proxy. Header Authorization situs tujuan tetap merupakan pertukaran terpisah.