Aparte inloggegevens instellen voor een Squid-parent

De login van een gebruiker bij uw Squid-dienst en de login van Squid bij zijn parent gebruiken verschillende gegevens. De parent kan van een andere beheerder zijn of een andere accountdatabase gebruiken. Een clientwachtwoord accepteren betekent niet dat u het upstream moet doorgeven.

Squid 6.13 kan een statische login aan een parentdefinitie toevoegen:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Het adres en wachtwoord hierboven zijn documentatievoorbeelden. Voeg de login aan de bestaande parentdefinitie toe zodat u niet per ongeluk een tweede peer maakt. Behoud het aparte routeringsbeleid dat bepaalt welke aanvragen deze parent moeten gebruiken.

Houd de accountbereiken gescheiden

De downstream-instellingen voor auth_param controleren clients van uw Squid-instantie. De login-optie van de peer geeft inloggegevens voor een andere hop. Een wijziging aan de ene kant werkt de andere niet automatisch bij.

Volg de gedocumenteerde authenticatievereisten van de parent. Deze regel is geen volledige configuratie voor elk verbindingsgericht authenticatieschema. Verwacht de parent NTLM of Negotiate, controleer dan de ondersteunde peeropzet in plaats van steeds het wachtwoord in dit veld te wijzigen.

Squid heeft ook opties voor het doorgeven van inloggegevens, zoals PASS en PASSTHRU. Die betekenen iets anders dan een eigen upstream-account en kunnen authenticatiegegevens van clients aan de peer onthullen. Gebruik ze niet als snelle oplossing als het ontwerp aparte accounts voorschrijft.

Bescherm de configuratie en test de juiste hop

Het statische geheim staat in de configuratie. Beperk toegang tot bestanden en back-ups en verwijder gevoelige gegevens uit parser- of debuguitvoer voordat u die deelt. De optie heeft eigen escaperegels: de documentatie staat URL-escapes toe en vereist dat een letterlijk procentteken wordt verdubbeld.

Als clients zich kunnen authenticeren maar doorgestuurde aanvragen nog bij de parent mislukken, onderzoek dan die upstream-uitwisseling en dat account. Houd ook de transportbeveiliging client–Squid en Squid–parent gescheiden: de eerste verbinding versleutelen beveiligt de tweede niet automatisch.