Credenziali Apache ProxyRemote e proxy-chain-auth

Un client può autenticarsi su un proxy in avanti Apache con un account, mentre Apache si autentica su un proxy padre con un altro:

client ── client account ── Apache ── parent account ── parent proxy

Per un account padre fisso su httpd 2.4.59 o successivo, ProxyRemote accetta un terzo argomento:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Questo integra la configurazione esistente del proxy in avanti con controllo degli accessi, come un listener privato che richiede sia un IP client sia un accesso proxy. L'account appartiene al padre scelto. Proteggi la configurazione che lo contiene e scegli l'ambito di corrispondenza richiesto dalla distribuzione.

Apache invia queste credenziali Basic in modo preventivo, senza attendere prima una richiesta di autenticazione. Ciò rende importanti il trasporto e la politica degli account della connessione al padre; la successiva sessione HTTPS del sito non protegge da sola un salto HTTP in chiaro verso il padre.

Quando lo stesso account in ingresso deve proseguire

Normalmente Apache consuma l'autenticazione proxy a lui indirizzata. L'impostazione d'ambiente proxy-chain-auth consente invece di inoltrare le credenziali proxy del client al proxy successivo:

SetEnv proxy-chain-auth On

È adatto solo a una catena di autenticazione intenzionalmente condivisa. Trasmette in avanti il materiale dell'account in ingresso; non inventa un nome utente e una password diversi per il padre.

Con l'argomento esplicito delle credenziali di ProxyRemote, proxy-chain-auth non ha alcun effetto. Scegli deliberatamente l'origine delle credenziali invece di sovrapporre entrambe le impostazioni sperando che venga selezionata la password che funziona.

Questi meccanismi autenticano i salti proxy. L'intestazione Authorization di un sito di destinazione resta uno scambio separato.