Fino a dove può arrivare una regola MAC di Squid?
Capite cosa può apprendere Squid dall'indirizzo MAC di un client su un collegamento locale e cosa scompare oltre un router.
Una regola proxy basata sul MAC può funzionare per un computer accanto al server Squid e fallire per un computer per il resto identico su un'altra sottorete. Il router cambia ciò che il proxy può osservare.
ARP risolve l'indirizzo di livello collegamento di un vicino IPv4 sul collegamento locale. Non trasporta l'indirizzo Ethernet originale attraverso ogni salto instradato. Un client raggiunto da un percorso remoto non equivale quindi a un vicino collegato direttamente solo perché Squid vede il suo indirizzo IP.
Per IPv4, la documentazione ACL di Squid limita la ricerca MAC ai client della stessa sottorete e richiede una build con il supporto pertinente. Verificate entrambe le condizioni prima di considerare un ACL MAC che non corrisponde un errore di battitura.
Usate l'identificatore al confine giusto
Per i client collegati direttamente, una regola MAC supportata può descrivere una condizione di rete a livello di dispositivo. Non autentica comunque la persona che usa quel dispositivo. Né rende impossibile modificare un indirizzo hardware dichiarato.
Oltre un router, usate le informazioni disponibili sul proxy: una sottorete di origine controllata, un'identità proxy autenticata o un'integrazione di identità attendibile progettata esplicitamente. Leggere la tabella delle concessioni di un server DHCP è un sistema di correlazione aggiuntivo, non un'estensione della portata di ARP.
Quando riesaminate una regola, tracciate il percorso dal client a Squid e segnate ogni router. Poi chiedete se la build installata supporta davvero l'ACL e la modalità di ricerca. Quei due controlli spiegano molto più dell'incollare ripetutamente il MAC del client nella stessa regola.