Até onde pode chegar uma regra MAC do Squid?
Entenda o que o Squid pode aprender com o endereço MAC de um cliente num enlace local e o que desaparece ao atravessar um router.
Uma regra de proxy baseada em MAC pode funcionar para um computador junto ao servidor Squid e falhar para um computador de resto idêntico noutra sub-rede. O router altera o que o proxy consegue observar.
O ARP resolve o endereço de camada de enlace de um vizinho IPv4 no enlace local. Não transporta o endereço Ethernet original por cada salto encaminhado. Por isso um cliente alcançado por uma rota remota não equivale a um vizinho ligado diretamente só porque o Squid vê o seu endereço IP.
Para IPv4, a documentação de ACL do Squid limita a pesquisa por MAC aos clientes da mesma sub-rede e exige uma compilação com o suporte correspondente. Verifique as duas condições antes de tomar uma ACL de MAC que não coincide como um erro de escrita.
Use o identificador na fronteira correta
Para clientes ligados diretamente, uma regra MAC suportada pode descrever uma condição de rede ao nível do dispositivo. Ainda assim não autentica a pessoa que opera esse dispositivo. Nem torna impossível alterar um endereço de hardware declarado.
Através de um router, use a informação disponível no proxy: uma sub-rede de origem controlada, uma identidade de proxy autenticada ou uma integração de identidade de confiança desenhada explicitamente. Ler a tabela de concessões de um servidor DHCP é um sistema de correlação adicional, não uma extensão do alcance do ARP.
Ao rever uma regra, desenhe o caminho do cliente até ao Squid e marque cada router. Depois pergunte se a compilação instalada suporta realmente a ACL e o modo de pesquisa. Essas duas verificações explicam muito mais do que colar repetidamente o MAC do cliente na mesma regra.