La Apache krevje både klient-IP og proxyinnlogging

Kombiner Apache 2.4-proxyautentisering med avgrensingar på klientadressa utan at eitt krav åleine gjev tilgang.

Når ein Apache 2.4-forwardproxy skal krevje både godkjend kjeldeadresse og gyldig innlogging, brukar du <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Flett dette autorisasjonsfragmentet inn i den eksisterande avgrensa proxyen. Byt ut klientadressa og stien til kontofila; autentiserings- og autorisasjonsmodulane må vere tilgjengelege, og fila må allereie innehalde dei tiltenkte brukarane. Dette er ikkje ei fullstendig lyttarutlegging.

To detaljar fastset politikken. Containeren uttrykkjer AND; å setje positive krav ved sida av kvarandre krev ikkje nødvendigvis alle. Require valid-user godtek ein autentisert konto, medan Require user alice nemner éin konto. Eit nakent Require user uttrykkjer ingenting. Sjå Apache si referanse om brukarløyve.

KjeldeInnloggingPåkravd resultat
TillateGyldigDen tiltenkte autoriserte førespurnaden vert tillaten.
TillateManglar eller er ugyldigIngen autorisert vidaresending.
Utanfor den tillatne kjeldaGyldigIngen autorisert vidaresending.

Gå gjennom den omsluttande virtuelle verten og andre passande autorisasjonsdelar før du stolar på fragmentet, og @@test autorisasjonsgrensa; meir spesifikk konfigurasjon kan endre det faktiske resultatet. Basic-innlogging krev òg ein verna transport mellom klient og proxy. HTTPS for målet startar seinare og vernar ikkje den tidlegare utvekslinga av påloggingsopplysningar i klartekst.

Relaterte artiklar