Definir credenciais separadas para um proxy pai do Squid

O login do usuário no seu serviço Squid e o login do Squid no proxy pai usam credenciais diferentes. O pai pode pertencer a outro operador ou usar outra base de contas. Não presuma que aceitar uma senha de cliente significa que você deve enviá-la ao upstream.

O Squid 6.13 pode adicionar um login estático à definição de um pai:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

O endereço e a senha acima são exemplos de documentação. Aplique o login à definição do pai existente para não criar acidentalmente um segundo peer. Mantenha a política de roteamento separada que decide quais requisições devem usar esse pai.

Manter distintos os escopos das contas

As configurações auth_param de downstream validam os clientes da sua instância do Squid. A opção login do peer fornece credenciais para outro salto. Alterar uma parte não atualiza a outra automaticamente.

Atenda aos requisitos de autenticação documentados do pai. Essa linha não é uma configuração completa para todo esquema de autenticação orientado à conexão. Se o pai espera NTLM ou Negotiate, confira a configuração de peers compatível em vez de mudar repetidamente a senha desse campo.

O Squid também tem opções de repasse de credenciais, como PASS e PASSTHRU. A semântica delas difere de uma conta upstream dedicada e elas podem expor ao peer informações de autenticação do cliente. Não as escolha como atalho se o projeto prevê contas separadas.

Proteger a configuração e testar o salto correto

O segredo estático fica na configuração. Limite o acesso aos arquivos e backups e remova dados sensíveis da saída do parser ou de depuração antes de compartilhá-la. A opção tem regras de escape próprias: a documentação permite escapes de URL e exige duplicar um caractere de porcentagem literal.

Se os clientes se autenticam mas as requisições encaminhadas continuam falhando no pai, examine essa troca upstream e a conta. Separe também a proteção de transporte cliente–Squid e Squid–pai; criptografar a primeira conexão não protege automaticamente a segunda.