Impostare credenziali separate per un proxy padre di Squid

Le credenziali dell’utente del tuo servizio Squid e quelle di Squid per accedere al padre sono diverse. Il padre può appartenere a un altro operatore o usare un altro database di account. Accettare la password di un client non significa doverla inoltrare a monte.

Squid 6.13 può associare un accesso statico alla definizione di un padre:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

L’indirizzo e la password sopra sono esempi di documentazione. Aggiungi l’accesso alla definizione del padre esistente per non creare accidentalmente un secondo peer. Mantieni la politica di instradamento separata che decide quali richieste devono usare questo padre.

Tenere distinti gli ambiti degli account

Le impostazioni auth_param a valle convalidano i client della tua istanza Squid. L’opzione login del peer fornisce credenziali per un altro hop. Cambiare una parte non aggiorna automaticamente l’altra.

Rispetta i requisiti di autenticazione documentati del padre. Questa riga non è una configurazione completa per ogni schema di autenticazione orientato alla connessione. Se il padre richiede NTLM o Negotiate, verifica la configurazione peer supportata anziché cambiare ripetutamente la password in questo campo.

Squid offre anche opzioni di passaggio delle credenziali come PASS e PASSTHRU. La loro semantica differisce da quella di un account upstream dedicato e possono esporre al peer informazioni di autenticazione del client. Non usarle come scorciatoia se il progetto prevede account separati.

Proteggere la configurazione e verificare l’hop corretto

Il segreto statico è memorizzato nella configurazione. Limita l’accesso a file e backup ed elimina i dati sensibili dall’output del parser o di debug prima di condividerlo. L’opzione ha regole di escape proprie: la documentazione consente gli escape URL e richiede di raddoppiare un carattere percentuale letterale.

Se i client si autenticano ma le richieste inoltrate continuano a fallire presso il padre, controlla lo scambio upstream e l’account. Tieni separata anche la protezione del trasporto client–Squid e Squid–padre: cifrare la prima connessione non protegge automaticamente la seconda.