Przechwytywanie w Squidzie a jawne uwierzytelnianie proxy
Wyjaśnij, dlaczego zwykłego jawnego uwierzytelniania proxy nie można po prostu dodać do nasłuchu przechwytywania w Squidzie.
Klient jawnego proxy wie, że rozmawia z proxy. Przechwycona przeglądarka myśli, że połączyła się z witryną. Ta różnica jest kluczowa dla uwierzytelniania.
Zwykłe uwierzytelnianie proxy używa wyzwania proxy i odpowiedzi autoryzacji proxy. Klient, który nie wybrał proxy, nie powinien bez namysłu wysyłać poświadczeń proxy do nieoczekiwanego pośrednika.
Dlatego wskazówki Squida dotyczące przechwytywania nie wspierają prostego łączenia proxy_auth z trybem przechwytywania. Działający pomocnik uwierzytelniania Basic nie zmienia tego, czym przeglądarka uważa zdalny punkt końcowy.
Jeśli zidentyfikowani użytkownicy potrzebują zwykłego uwierzytelnionego proxy przekazującego, skonfiguruj klientów jawnie, bezpośrednio lub przez odpowiednią zarządzaną konfigurację proxy. Trzymaj ten nasłuch i jego politykę uwierzytelniania oddzielnie od nasłuchu przechwytywania.
Portal uwierzytelniania, system tożsamości na poziomie sieci lub układ przechwytywania TLS to inny projekt o innych wymaganiach dotyczących zaufania i wdrożenia. To nie jest jednolinijkowa naprawa brakującej wymiany jawnego proxy.
Nie rozwiązuj braku monitu przez upublicznienie przechwytywanej usługi albo dopuszczenie każdego klienta. Najpierw zdecyduj, czy wymaganiem jest jawne uwierzytelnianie użytkownika, czy przechwytywanie ruchu, który nigdy nie był skonfigurowany dla proxy. Jedno i drugie wymaga innych założeń.