Hoe ver reikt een MAC-regel in Squid?
Begrijp wat Squid op een lokale verbinding uit het MAC-adres van een client kan leren en wat achter een router verdwijnt.
Een op MAC gebaseerde proxyregel kan werken voor een computer naast de Squid-server en falen voor een verder identieke computer op een ander subnet. De router verandert wat de proxy kan waarnemen.
ARP lost het linklaagadres van een IPv4-buur op de lokale verbinding op. Het draagt het oorspronkelijke Ethernet-adres niet door elke gerouteerde hop. Een via een externe route bereikte client is daarom niet gelijkwaardig aan een rechtstreeks aangesloten buur, alleen omdat Squid het IP-adres ervan ziet.
Voor IPv4 beperkt de ACL-documentatie van Squid het MAC-zoeken tot clients op hetzelfde subnet en vereist een build met de betreffende ondersteuning. Controleer beide voorwaarden voordat u een niet-passende MAC-ACL als een typefout beschouwt.
Gebruik de identificatie op de juiste grens
Voor rechtstreeks aangesloten clients kan een ondersteunde MAC-regel een netwerkvoorwaarde op apparaatniveau beschrijven. Die authenticeert nog steeds niet de persoon die dat apparaat bedient. En maakt een gemeld hardwareadres niet onveranderbaar.
Achter een router gebruikt u informatie die op de proxy beschikbaar is: een gecontroleerd bronsubnet, een geauthenticeerde proxy-identiteit of een expliciet ontworpen integratie van een vertrouwde identiteit. Het lezen van de leasetabel van een DHCP-server is een aanvullend correlatiesysteem, geen uitbreiding van het bereik van ARP.
Als u een regel beoordeelt, teken dan het pad van client naar Squid en markeer elke router. Vraag daarna of de geïnstalleerde build de ACL en de zoekmodus werkelijk ondersteunt. Die twee controles verklaren veel meer dan het steeds opnieuw plakken van het MAC-adres van de client in dezelfde regel.