La Apache kreve både klient-IP og proxyinnlogging

Kombiner Apache 2.4-proxyautentisering med begrensninger på klientadressen uten at ett krav alene gir tilgang.

Når en Apache 2.4-forwardproxy skal kreve både godkjent kildeadresse og gyldig innlogging, bruker du <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Flett dette autorisasjonsfragmentet inn i den eksisterende begrensede proxyen. Bytt ut klientadressen og stien til kontofilen; autentiserings- og autorisasjonsmodulene må være tilgjengelige, og filen må allerede inneholde de tiltenkte brukerne. Dette er ikke en fullstendig lytterinstallasjon.

To detaljer bestemmer policyen. Containeren uttrykker AND; å plassere positive krav ved siden av hverandre krever ikke nødvendigvis alle. Require valid-user godtar en autentisert konto, mens Require user alice navngir én konto. Et rent Require user uttrykker ingenting. Se Apache sin referanse om brukergodkjenning.

KildeInnloggingPåkrevd resultat
TillattGyldigDet tiltenkte autoriserte forespørselen tillates.
TillattMangler eller er ugyldigIngen autorisert videresending.
Utenfor tillatt kildeGyldigIngen autorisert videresending.

Gå gjennom den omsluttende virtuelle verten og andre passende autorisasjonsseksjoner før du stoler på fragmentet, og @@test autorisasjonsgrensen; mer spesifikk konfigurasjon kan endre det faktiske resultatet. Basic-innlogging krever også en beskyttet transport mellom klient og proxy. HTTPS for målet starter senere og beskytter ikke den tidligere utvekslingen av legitimasjon i klartekst.

Relaterte artikler