Apache ProxyRemote prisijungimo duomenys ir proxy-chain-auth

Klientas gali autentifikuotis Apache tiesioginiame proxye su viena paskyra, o Apache autentifikuojasi pirminiame proxye su kita:

client ── client account ── Apache ── parent account ── parent proxy

Fiksuotai pirminio proxy paskyrai nuo httpd 2.4.59 ProxyRemote priima trečią argumentą:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Tai papildo esamą prieigos kontrolės tiesioginio proxy konfigūraciją, pavyzdžiui, privatų klausytoją, kuris reikalauja ir kliento IP, ir prisijungimo prie proxy. Paskyra priklauso pasirinktam pirminiam proxy. Apsaugokite konfigūraciją, kurioje ji yra, ir pasirinkite diegimo reikalaujamą atitikimo sritį.

Apache siunčia šiuos Basic prisijungimo duomenis iš anksto, nelaukdamas iššūkio. Todėl pirminio ryšio transportas ir paskyrų politika yra svarbūs; vėlesnė svetainės HTTPS sesija pati neapsaugo atviro HTTP šuolio į pirminį proxy.

Kada ta pati įeinanti paskyra turėtų būti tęsiama

Paprastai Apache sunaudoja jam adresuotą proxy autentifikaciją. Aplinkos nuostata proxy-chain-auth vietoj to leidžia perduoti kliento proxy prisijungimo duomenis kitam proxy:

SetEnv proxy-chain-auth On

Tai tinka tik sąmoningai bendrai autentifikacijos grandinei. Ji perduoda įeinančios paskyros duomenis toliau; ji neišgalvoja kito pirminio proxy vartotojo vardo ir slaptažodžio.

Su aiškiu ProxyRemote prisijungimo duomenų argumentu proxy-chain-auth neturi jokio poveikio. Sąmoningai pasirinkite duomenų šaltinį, o ne sluoksniuokite abu nustatymus tikėdamiesi, kad bus pasirinktas veikiantis slaptažodis.

Šie mechanizmai autentifikuoja proxy šuolius. Tikslinės svetainės Authorization antraštė lieka atskiras mainas.