Basic-authenticatie toevoegen aan een Squid 6.13-proxy

Stel Squid 6.13s NCSA-helper in, combineer een toegestaan client-IP met een geldige login en begrijp wat Basic-authenticatie beschermt.

Deze procedure voegt NCSA-ondersteunde Basic-authenticatie toe aan een op bron beperkt Squid 6.13-proxy. De helper van Debian 13 is /usr/lib/squid/basic_ncsa_auth; controleer het pad en serviceaccount van je pakket.

Het eerste account maken

Gebruik het hulpprogramma htpasswd van de distributie en voer het wachtwoord interactief in:

sudo htpasswd -c /etc/squid/users proxyuser
sudo chown root:proxy /etc/squid/users
sudo chmod 640 /etc/squid/users

Het eigenaarschap gaat uit van Debians servicegroep. Squid moet het bestand kunnen lezen; andere gebruikers niet. Laat bij volgende accounts -c weg: dat maakt een nieuw bestand en kan bestaande vermeldingen vervangen.

Bron en login in dezelfde toestemmingsregel vereisen

Plaats deze regels na de bestaande beveiliging voor bestemmingspoorten, beheer, localhost en link-local-adressen:

auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/users
auth_param basic realm PrivateProxy

acl proxy_client src 198.51.100.27/32
acl logged_in proxy_auth REQUIRED

http_access allow proxy_client logged_in
http_access deny all

Vervang het clientadres door de bron die Squid ziet. Beide voorwaarden moeten kloppen. Verwijder eerdere brede clienttoestemmingen die de loginregel zouden omzeilen en behoud de listener- en firewallbeperkingen.

Parsen, herladen en twee aanvragen vergelijken

sudo squid -k parse -f /etc/squid/squid.conf

Herstel parserfouten en herlaad de beheerde Squid-service vóór het testen. Vanaf een toegestane bron hoort een aanvraag zonder inloggegevens om authenticatie te vragen. Vergelijk met een geautoriseerde aanvraag met de echte proxyhostnaam:

curl --proxy http://proxy.example:3128 --proxy-basic --proxy-user proxyuser --noproxy '' --connect-timeout 5 --max-time 15 https://example.com/

Alleen de gebruikersnaam opgeven laat curl om het wachtwoord vragen. Een geldige aanvraag hoort de bestemming te bereiken.

Basic-authenticatie versleutelt het verkeer tussen client en proxy niet. Latere HTTPS naar de bestemming beschermt geen inloggegevens die al naar een onversleutelde proxy zijn verzonden; gebruik een passend beschermd pad. Deze richtlijnen gelden voor Squid 6.13; raadpleeg voor Squid 8 de versiespecifieke configuratie.

Gerelateerde artikelen