Kredenzjali Apache ProxyRemote kontra proxy-chain-auth

Klijent jista’ jawtentika ma’ proxy forward ta’ Apache b’kont wieħed, filwaqt li Apache jawtentika ma’ proxy prinċipali b’kont ieħor:

client ── client account ── Apache ── parent account ── parent proxy

Għal kont prinċipali fiss fuq httpd 2.4.59 jew aktar tard, ProxyRemote jaċċetta t-tielet argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Dan jissupplimenta l-konfigurazzjoni eżistenti tal-proxy forward b’kontroll tal-aċċess, bħal listener privat li jeħtieġ kemm IP tal-klijent kif ukoll login tal-proxy. Il-kont huwa tal-prinċipali magħżul. Ipproteġi l-konfigurazzjoni li fiha dan, u agħżel l-ambitu tal-qbil li jinħtieġ għall-varar.

Apache jibgħat dawn il-kredenzjali Basic bil-quddiem, mingħajr ma jistenna l-ewwel sfida. Dan jagħmel it-trasport u l-politika tal-kont tal-konnessjoni prinċipali importanti; is-sessjoni HTTPS aktar tard tal-websajt ma tipproteġix waħedha qabża HTTP b’test ċar lejn il-prinċipali.

Meta l-istess kont deħel għandu jkompli

Normalment Apache jikkonsma l-awtentikazzjoni tal-proxy indirizzata lilu nnifsu. Minflok, is-setting tal-ambjent proxy-chain-auth jippermetti li l-kredenzjali tal-proxy tal-klijent jintbagħtu lill-proxy li jmiss:

SetEnv proxy-chain-auth On

Dan huwa adattat biss għal katina ta’ awtentikazzjoni maqsuma b’mod intenzjonat. Hija tgħaddi l-materjal tal-kont deħel ’il quddiem; ma tisinvixxilx username u password tal-prinċipali differenti.

Bl-argument espliċitu tal-kredenzjali ta’ ProxyRemote, proxy-chain-auth m’għandu l-ebda effett. Agħżel is-sors tal-kredenzjali b’mod konxju minflok ma tħaddan iż-żewġ settings bit-tama li jintgħażel il-password li taħdem.

Dawn il-mekkaniżmi jawtentikaw il-qabżiet tal-proxy. L-header Authorization ta’ sit destinatarju jibqa’ skambju separat.