Apache 포워드 프록시 인가: Require와 AuthMerging
proxy.conf를 별도의 정책 계층으로 취급하지 말고 Apache의 섹션 병합 규칙을 통해 전역 및 가상 호스트 프록시 인가를 추적합니다.
proxy.conf의 규칙은 특별한 규칙 클래스가 아닙니다. Apache는 포함된 설정을 설정 트리로 읽어 들이며, 이를 감싸는 전역, VirtualHost 또는 일치하는 섹션이 지시문의 참여 방식을 결정합니다.
포워드 프록시 요청을 처리하는 리스너와 가상 호스트에서 시작합니다. 그런 다음 해당 컨텍스트와 기본 설정에서 일치하는 Proxy 섹션을 모읍니다. 중요한 것은 섹션 처리 순서이지, 어느 파일이 마지막으로 편집되었는지만이 아닙니다.
인가는 항상 누적되지 않습니다
기본 AuthMerging Off 동작에서는 이후 적용되는 섹션이 자체 인가 로직을 제공할 때까지 인가가 상속됩니다. 그 새로운 로직은 또 다른 제한을 추가하는 대신 이전 요구 사항을 대체할 수 있습니다.
| 설정 | 가장 가까운 이전 인가 섹션과의 조합 |
|---|---|
| Off | 새 인가가 상속된 로직을 덮어쓸 수 있습니다 |
| And | 두 집합 모두 인가해야 합니다 |
| Or | 어느 한 집합만 인가해도 됩니다 |
AuthMerging 자체는 이를 포함하는 섹션에만 국한됩니다. And를 한 번 설정하면 이후 모든 섹션이 바뀐다고 가정하지 마십시오.
가능하면 의도한 정책을 명시적으로 유지하십시오. 감싸는 인가 컨테이너가 없는 두 개의 Require 줄은 암묵적으로 대안이므로, IP 규칙과 valid-user가 자동으로 “IP 그리고 사용자”가 되지는 않습니다. 사용하십시오 두 조건이 같은 결정에 속할 때 RequireAll을.
프록시 계정을 변경하거나 접근을 열기 전에 일치하는 전체 설정을 검토하십시오. 그런 다음 실행 중인 리스너를 대상으로 허용되는 경우와 거부되는 경우를 시험하십시오. 다른 섹션이 실효 인가를 제공했기 때문에 요청이 거부되거나—뜻밖에도 허용될 수 있습니다.