Acreditările Apache ProxyRemote față de proxy-chain-auth

Un client se poate autentifica la un proxy direct Apache cu un cont, în timp ce Apache se autentifică la un proxy părinte cu altul:

client ── client account ── Apache ── parent account ── parent proxy

Pentru un cont fix de proxy părinte pe httpd 2.4.59 sau mai nou, ProxyRemote acceptă un al treilea argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Aceasta completează configurația existentă de proxy direct cu control al accesului, cum ar fi un ascultător privat care necesită atât un IP de client, cât și o autentificare la proxy. Contul aparține părintelui ales. Protejați configurația care îl conține și alegeți domeniul de potrivire cerut de implementare.

Apache trimite aceste acreditări Basic în avans, fără a aștepta mai întâi o provocare. De aceea transportul și politica de conturi ale conexiunii părinte sunt importante; sesiunea HTTPS ulterioară a site-ului nu protejează singură un salt HTTP în text clar către părinte.

Când același cont de intrare trebuie continuat

De obicei Apache consumă autentificarea de proxy adresată lui însuși. Setarea de mediu proxy-chain-auth permite în schimb transmiterea acreditărilor de proxy ale clientului către proxy-ul următor:

SetEnv proxy-chain-auth On

Acest lucru este potrivit doar pentru un lanț de autentificare partajat în mod intenționat. Transmite mai departe materialul contului de intrare; nu inventează un nume de utilizator și o parolă de părinte diferite.

Cu argumentul explicit de acreditări al ProxyRemote, proxy-chain-auth nu are niciun efect. Alegeți sursa acreditărilor în mod deliberat, în loc să suprapuneți ambele setări în speranța că va fi selectată parola care funcționează.

Aceste mecanisme autentifică salturile de proxy. Antetul Authorization al unui site destinație rămâne un schimb separat.