Credenciais do Apache ProxyRemote versus proxy-chain-auth

Um cliente pode autenticar-se num proxy direto do Apache com uma conta, enquanto o Apache se autentica num proxy principal com outra:

client ── client account ── Apache ── parent account ── parent proxy

Para uma conta fixa do proxy principal no httpd 2.4.59 ou posterior, o ProxyRemote aceita um terceiro argumento:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Isto complementa a configuração existente de proxy direto com controle de acesso, como um ouvinte privado que exige tanto um IP de cliente como um início de sessão de proxy. A conta pertence ao principal escolhido. Proteja a configuração que a contém e escolha o âmbito de correspondência exigido pela implantação.

O Apache envia estas credenciais Basic antecipadamente, sem esperar primeiro por um desafio. Isso torna importantes o transporte e a política de contas da ligação ao principal; a sessão HTTPS posterior do site não protege por si só um salto HTTP em texto simples até ao principal.

Quando a mesma conta de entrada deve continuar

Normalmente o Apache consome a autenticação de proxy dirigida a ele próprio. Em vez disso, a definição de ambiente proxy-chain-auth permite encaminhar as credenciais de proxy do cliente para o proxy seguinte:

SetEnv proxy-chain-auth On

Isto só é adequado para uma cadeia de autenticação intencionalmente partilhada. Passa o material da conta de entrada adiante; não inventa um nome de utilizador e uma palavra-passe diferentes para o principal.

Com o argumento explícito de credenciais do ProxyRemote, o proxy-chain-auth não tem qualquer efeito. Escolha a origem das credenciais deliberadamente em vez de sobrepor ambas as definições na esperança de que seja selecionada a palavra-passe que funciona.

Estes mecanismos autenticam os saltos de proxy. O cabeçalho Authorization de um site de destino continua a ser uma troca separada.