Menetapkan kredensial terpisah untuk proksi induk Squid
Berikan Squid 6.13 login proksi upstream sendiri tanpa menganggap kata sandi klien harus diteruskan kepada operator lain.
Login pengguna ke layanan Squid Anda dan login Squid ke induknya memakai kredensial berbeda. Induk mungkin milik operator lain atau memakai basis data akun berbeda. Menerima kata sandi klien bukan berarti Anda harus meneruskannya ke upstream.
Squid 6.13 dapat menambahkan login statis ke definisi induk:
cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnlyAlamat dan kata sandi di atas adalah contoh dokumentasi. Terapkan login pada definisi induk yang sudah ada agar tidak tanpa sengaja membuat peer kedua. Pertahankan kebijakan perutean terpisah yang menentukan permintaan mana yang wajib memakai induk ini.
Pisahkan cakupan akun
Pengaturan auth_param downstream memvalidasi klien instans Squid Anda. Opsi login peer menyediakan kredensial untuk hop lain. Mengubah yang satu tidak otomatis memperbarui yang lain.
Ikuti persyaratan autentikasi induk yang didokumentasikan. Baris ini bukan konfigurasi lengkap untuk setiap skema autentikasi berorientasi koneksi. Jika induk mengharapkan NTLM atau Negotiate, periksa susunan peer yang didukung alih-alih berulang kali mengganti kata sandi di bidang ini.
Squid juga memiliki opsi penerusan kredensial seperti PASS dan PASSTHRU. Semantiknya berbeda dari akun upstream khusus dan dapat mengungkap informasi autentikasi klien kepada peer. Jangan memilihnya sebagai jalan pintas ketika desain memakai akun terpisah.
Lindungi konfigurasi dan uji hop yang benar
Rahasia statis disimpan dalam konfigurasi. Batasi akses berkas dan cadangan, lalu hapus data sensitif dari keluaran parser atau debug sebelum dibagikan. Opsi ini memiliki aturan escape sendiri: dokumentasi mengizinkan escape URL dan mengharuskan karakter persen literal ditulis ganda.
Jika autentikasi klien berhasil tetapi permintaan yang diteruskan tetap gagal di induk, periksa pertukaran upstream dan akunnya. Pisahkan juga perlindungan transport klien–Squid dan Squid–induk; mengenkripsi koneksi pertama tidak otomatis mengamankan koneksi kedua.