Kelayakan Apache ProxyRemote berbanding proxy-chain-auth

Klien boleh menentusahkan diri kepada proksi hadapan Apache dengan satu akaun, manakala Apache menentusahkan diri kepada proksi induk dengan akaun lain:

client ── client account ── Apache ── parent account ── parent proxy

Untuk akaun induk tetap pada httpd 2.4.59 atau lebih baru, ProxyRemote menerima argumen ketiga:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Ini melengkapi konfigurasi proksi hadapan terkawal akses sedia ada, seperti pendengar peribadi yang memerlukan kedua-dua IP klien dan log masuk proksi. Akaun itu milik induk yang dipilih. Lindungi konfigurasi yang mengandunginya, dan pilih skop padanan yang diperlukan oleh penggunaan.

Apache menghantar kelayakan Basic ini lebih awal, tanpa menunggu cabaran dahulu. Itu menjadikan pengangkutan dan dasar akaun sambungan induk penting; sesi HTTPS tapak web yang kemudian tidak melindungi lonjakan HTTP teks jelas ke induk dengan sendirinya.

Bila akaun masuk yang sama harus diteruskan

Biasanya Apache menggunakan pengesahan proksi yang dialamatkan kepadanya sendiri. Tetapan persekitaran proxy-chain-auth sebaliknya membenarkan kelayakan proksi klien dihantar ke proksi seterusnya:

SetEnv proxy-chain-auth On

Ini sesuai hanya untuk rantaian pengesahan yang dikongsi secara sengaja. Ia menyalurkan bahan akaun masuk ke hadapan; ia tidak mencipta nama pengguna dan kata laluan induk yang berbeza.

Dengan argumen kelayakan eksplisit ProxyRemote, proxy-chain-auth tidak berkesan. Pilih sumber kelayakan secara sedar daripada melapisi kedua-dua tetapan dengan harapan kata laluan yang berfungsi akan dipilih.

Mekanisme ini menentusahkan lonjakan proksi. Pengepala Authorization tapak destinasi kekal sebagai pertukaran berasingan.