Squid-onderschepping versus expliciete proxy-authenticatie
Leg uit waarom gewone expliciete proxy-authenticatie niet zomaar aan een Squid-onderscheppingslistener kan worden toegevoegd.
Een client van een expliciete proxy weet dat hij met een proxy praat. Een onderschepte browser denkt dat hij verbinding heeft met de website. Dat verschil is essentieel voor authenticatie.
Normale proxy-authenticatie gebruikt een proxy-uitdaging en een proxy-autorisatieantwoord. Een client die geen proxy koos, hoort niet achteloos proxy-referenties naar een onverwachte tussenpartij te sturen.
Daarom ondersteunt de onderscheppingsrichtlijn van Squid niet dat proxy_auth simpelweg met de onderscheppingsmodus wordt gecombineerd. Een werkende Basic-authenticatiehelper verandert niet wat de browser als het externe eindpunt beschouwt.
Als geïdentificeerde gebruikers een normale geauthenticeerde forward-proxy nodig hebben, configureer de clients dan expliciet, rechtstreeks of via een passende beheerde proxyconfiguratie. Houd die listener en zijn authenticatiebeleid gescheiden van een onderscheppingslistener.
Een authenticatieportaal, een identiteitssysteem op netwerkniveau of een TLS-onderscheppingsopstelling is een ander ontwerp met andere eisen aan vertrouwen en uitrol. Het is geen reparatie van één regel voor de ontbrekende expliciete proxy-uitwisseling.
Los het ontbreken van een prompt niet op door de onderschepte dienst openbaar te maken of elke client toe te staan. Beslis eerst of de eis expliciete gebruikerauthenticatie is of onderschepping van verkeer dat nooit voor een proxy is geconfigureerd. Die vragen verschillende aannames.