Apache videresendt proxy-autorisasjon: Require og AuthMerging
Følg autorisasjonen for global proxy og proxy på virtuell vert gjennom Apaches regler for sammenslåing av seksjoner, framfor å behandle proxy.conf som et separat policylag.
En regel i proxy.conf er ikke en egen regelklasse. Apache leser inkludert konfigurasjon inn i konfigurasjonstreet; den omsluttende globale seksjonen, VirtualHost eller samsvarende seksjon bestemmer hvordan direktivet deltar.
Begynn med lytteren og den virtuelle verten som betjener proxy-videresendingen. Samle så de samsvarende Proxy-seksjonene fra denne konteksten og hovedkonfigurasjonen. Rekkefølgen seksjonene behandles i er avgjørende, ikke bare hvilken fil som sist ble endret.
Autorisasjon er ikke alltid kumulativ
Med standardoppførselen AuthMerging Off nedarves autorisasjonen til en senere aktuell seksjon gir sin egen autorisasjonslogikk. Den nye logikken kan erstatte de tidligere kravene i stedet for å føye til nok en begrensning.
| Innstilling | Kombinasjon med den nærmeste foregående autorisasjonsseksjonen |
|---|---|
| Off | Ny autorisasjon kan overstyre nedarvet logikk |
| And | Begge settene må autorisere |
| Or | Hvert av settene kan autorisere |
AuthMerging er selv lokal for seksjonen som inneholder det. Ikke anta at en enkelt innstilling av And endrer hver senere seksjon.
Hold den tiltenkte policyen eksplisitt der det lar seg gjøre. To Require-linjer uten en omsluttende autorisasjonsbeholder er implisitt alternativer, så en IP-regel pluss valid-user er ikke automatisk «IP og bruker». Bruk RequireAll når begge betingelsene hører til samme beslutning.
Gå gjennom den fullstendige samsvarende konfigurasjonen før du endrer en proxykonto eller åpner tilgang. Test så de tillatte og avviste tilfellene mot den kjørende lytteren. En forespørsel kan bli avvist—eller uventet tillatt—fordi en annen seksjon leverte den effektive autorisasjonen.