Jak daleko może sięgać reguła MAC w Squidzie?
Zrozum, czego Squid może się dowiedzieć z adresu MAC klienta w łączu lokalnym i co ginie za routerem.
Reguła proxy oparta na MAC może działać dla komputera obok serwera Squid, a zawieść dla identycznego komputera w innej podsieci. Router zmienia to, co proxy może zaobserwować.
ARP rozwiązuje adres warstwy łącza sąsiada IPv4 w łączu lokalnym. Nie przenosi oryginalnego adresu Ethernet przez każdy routingowy skok. Dlatego klient osiągany trasą zdalną nie jest równoważny bezpośrednio podłączonemu sąsiadowi tylko dlatego, że Squid widzi jego adres IP.
W przypadku IPv4 dokumentacja ACL Squida ogranicza wyszukiwanie MAC do klientów w tej samej podsieci i wymaga kompilacji z odpowiednim wsparciem. Sprawdź oba warunki, zanim uznasz niezgodną regułę MAC ACL za literówkę.
Używaj identyfikatora na właściwej granicy
Dla bezpośrednio podłączonych klientów obsługiwana reguła MAC może opisać stan sieci na poziomie urządzenia. Nadal nie uwierzytelnia osoby obsługującej to urządzenie. Nie czyni też zgłoszonego adresu sprzętowego niemożliwym do zmiany.
Za routerem korzystaj z informacji dostępnych w proxy: kontrolowanej podsieci źródłowej, uwierzytelnionej tożsamości proxy lub wyraźnie zaprojektowanej integracji zaufanej tożsamości. Czytanie tabeli dzierżaw serwera DHCP to dodatkowy system korelacji, a nie rozszerzenie zasięgu ARP.
Przeglądając regułę, narysuj ścieżkę od klienta do Squida i oznacz każdy router. Następnie zapytaj, czy zainstalowana kompilacja naprawdę obsługuje ACL i tryb wyszukiwania. Te dwa sprawdzenia wyjaśniają znacznie więcej niż wielokrotne wklejanie adresu MAC klienta do tej samej reguły.