Oddzielne dane logowania dla nadrzędnego proxy Squida

Przydziel Squidowi 6.13 własne konto proxy nadrzędnego, zamiast zakładać przekazywanie hasła klienta innemu operatorowi.

Dane użytkownika logującego się do twojego Squida i dane logowania Squida do proxy nadrzędnego są różne. Proxy nadrzędne może należeć do innego operatora lub używać innej bazy kont. Przyjęcie hasła klienta nie oznacza, że należy przekazać je dalej.

Squid 6.13 może dołączyć stałe dane logowania do definicji proxy nadrzędnego:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Powyższy adres i hasło to przykłady dokumentacyjne. Dodaj login do istniejącej definicji proxy nadrzędnego, aby przypadkiem nie utworzyć drugiego węzła peer. Zachowaj oddzielną politykę routingu określającą, które żądania muszą używać tego proxy nadrzędnego.

Rozdziel zakresy kont

Ustawienia auth_param po stronie klientów weryfikują klientów twojej instancji Squida. Opcja login węzła peer dostarcza dane dla innego odcinka. Zmiana jednego nie aktualizuje automatycznie drugiego.

Spełnij udokumentowane wymagania uwierzytelniania proxy nadrzędnego. Ta linia nie jest pełną konfiguracją dla każdego mechanizmu uwierzytelniania zorientowanego na połączenie. Jeśli proxy wymaga NTLM lub Negotiate, sprawdź obsługiwany układ peer zamiast wielokrotnie zmieniać hasło w tym polu.

Squid ma też opcje przekazywania danych, takie jak PASS i PASSTHRU. Mają inną semantykę niż dedykowane konto nadrzędne i mogą ujawnić węzłowi peer dane uwierzytelniania klienta. Nie wybieraj ich jako skrótu, gdy projekt zakłada osobne konta.

Chroń konfigurację i testuj właściwy odcinek

Stały sekret jest zapisany w konfiguracji. Ogranicz dostęp do plików i kopii zapasowych oraz usuń dane wrażliwe z wyników parsera lub debugowania przed udostępnieniem. Opcja ma własne reguły zapisu znaków specjalnych: dokumentacja dopuszcza kodowanie URL i wymaga podwojenia dosłownego znaku procentu.

Jeśli klienci uwierzytelniają się poprawnie, ale przekazywane żądania nadal zawodzą u proxy nadrzędnego, sprawdź tę wymianę i konto. Rozdziel też ochronę transportu klient–Squid i Squid–proxy nadrzędne; zaszyfrowanie pierwszego połączenia nie zabezpiecza automatycznie drugiego.

Powiązane artykuły