Dane logowania Apache ProxyRemote a proxy-chain-auth

Klient może uwierzytelnić się w proxy przekazującym Apache za pomocą jednego konta, podczas gdy Apache uwierzytelnia się w nadrzędnym proxy za pomocą innego:

client ── client account ── Apache ── parent account ── parent proxy

Dla stałego konta nadrzędnego proxy w httpd 2.4.59 lub nowszym ProxyRemote przyjmuje trzeci argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Uzupełnia to istniejącą konfigurację proxy przekazującego z kontrolą dostępu, na przykład prywatny nasłuch, który wymaga zarówno adresu IP klienta, jak i logowania do proxy. Konto należy do wybranego proxy nadrzędnego. Chroń konfigurację, która je zawiera, i wybierz zakres dopasowania wymagany przez wdrożenie.

Apache wysyła te dane Basic z wyprzedzeniem, nie czekając najpierw na wyzwanie. Dlatego transport i polityka kont połączenia z proxy nadrzędnym są ważne; późniejsza sesja HTTPS witryny sama nie chroni przeskoku HTTP jawnym tekstem do proxy nadrzędnego.

Kiedy to samo konto przychodzące powinno być kontynuowane

Zwykle Apache zużywa uwierzytelnianie proxy zaadresowane do niego samego. Ustawienie środowiska proxy-chain-auth pozwala natomiast przekazać dane logowania proxy klienta do następnego proxy:

SetEnv proxy-chain-auth On

Jest to właściwe tylko dla celowo współdzielonego łańcucha uwierzytelniania. Przekazuje dalej materiał konta przychodzącego; nie wymyśla innej nazwy użytkownika ani hasła proxy nadrzędnego.

Z jawnym argumentem danych logowania ProxyRemote proxy-chain-auth nie ma żadnego efektu. Wybieraj źródło danych logowania świadomie, zamiast nakładać oba ustawienia w nadziei, że zostanie wybrane działające hasło.

Mechanizmy te uwierzytelniają przeskoki proxy. Nagłówek Authorization witryny docelowej pozostaje osobną wymianą.