Hvor langt kan en Squid-MAC-regel nå?
Forstå hva Squid kan lære av MAC-adressen til en klient på en lokal lenke, og hva som forsvinner bak en ruter.
En MAC-basert proxyregel kan fungere for en maskin ved siden av Squid-serveren og feile for en ellers identisk maskin på et annet subnett. Ruteren endrer hva proxyen kan observere.
ARP slår opp lenkelagsadressen til en IPv4-nabo på den lokale lenken. Den bærer ikke den opprinnelige Ethernet-adressen gjennom hvert rutede hopp. Derfor er ikke en klient som nås via en ekstern rute, likeverdig med en direkte tilkoblet nabo bare fordi Squid ser IP-adressen.
For IPv4 begrenser Squids ACL-dokumentasjon MAC-oppslag til klienter på samme subnett og krever en build med den relevante støtten. Kontroller begge betingelsene før du anser en MAC-ACL som ikke passer som en skrivefeil.
Bruk identifikatoren ved riktig grense
For direkte tilkoblede klienter kan en støttet MAC-regel beskrive en nettverkstilstand på enhetsnivå. Den autentiserer fortsatt ikke personen som bruker enheten. Og den gjør ikke en rapportert maskinvareadresse umulig å endre.
Bak en ruter bruker du informasjon som er tilgjengelig på proxyen: et kontrollert kildenett, en autentisert proxyidentitet eller en eksplisitt utformet integrasjon med en klarert identitet. Å lese leasetabellen til en DHCP-server er et ekstra korrelasjonssystem, ikke en forlengelse av ARPs rekkevidde.
Når du gjennomgår en regel, tegn banen fra klienten til Squid og merk hver ruter. Spør deretter om bygget som er installert faktisk støtter ACL-en og oppslagsmodusen. De to kontrollene forklarer langt mer enn å lime MAC-adressen til klienten inn i den samme regelen om og om igjen.