Hvor langt kan en Squid-MAC-regel nå?
Forstå hva Squid kan lære av en klients MAC-adresse på en lokal lenke, og hva som forsvinner bak en ruter.
En MAC-basert proxyregel kan virke for en maskin ved siden av Squid-serveren og feile for en ellers identisk maskin på et annet subnett. Ruteren endrer hva proxyen kan observere.
ARP slår opp lenkelagsadressen til en IPv4-nabo på den lokale lenken. Den bærer ikke den opprinnelige Ethernet-adressen gjennom hvert rutet hopp. Derfor er ikke en klient som nås via en ekstern rute, likeverdig med en direkte tilkoblet nabo bare fordi Squid ser IP-adressen dens.
For IPv4 begrenser Squids ACL-dokumentasjon MAC-oppslag til klienter på samme subnett og krever et bygg med den relevante støtten. Kontroller begge betingelsene før du anser en MAC-ACL som ikke stemmer som en skrivefeil.
Bruk identifikatoren ved riktig grense
For direkte tilkoblede klienter kan en støttet MAC-regel beskrive en nettverkstilstand på enhetsnivå. Den autentiserer fortsatt ikke personen som bruker enheten. Og den gjør ikke en rapportert maskinvareadresse umulig å endre.
Bak en ruter bruker du informasjon som er tilgjengelig på proxyen: et kontrollert kildenett, en autentisert proxyidentitet eller en eksplisitt utformet integrasjon med en klarert identitet. Å lese leasetabellen til en DHCP-server er et ekstra korrelasjonssystem, ikke en forlengelse av ARPs rekkevidde.
Når du gjennomgår en regel, tegn banen fra klienten til Squid og merk hver ruter. Spør deretter om bygget som er installert faktisk støtter ACL-en og oppslagsmodusen. De to kontrollene forklarer langt mer enn å lime klientens MAC inn i den samme regelen om og om igjen.