Cât de departe poate ajunge o regulă MAC în Squid?
Înțelegeți ce poate afla Squid din adresa MAC a unui client pe o legătură locală și ce dispare dincolo de un router.
O regulă de proxy bazată pe MAC poate funcționa pentru un calculator de lângă serverul Squid și poate eșua pentru un calculator de altfel identic într-o altă subrețea. Routerul schimbă ceea ce proxy-ul poate observa.
ARP rezolvă adresa de nivel legătură a unui vecin IPv4 pe legătura locală. Nu transportă adresa Ethernet originală prin fiecare salt rutat. De aceea un client accesat printr-o rută îndepărtată nu este echivalent cu un vecin conectat direct doar pentru că Squid îi vede adresa IP.
Pentru IPv4, documentația ACL a Squid limitează căutarea MAC la clienții din aceeași subrețea și cere o compilare cu suportul corespunzător. Verificați ambele condiții înainte de a trata o ACL MAC care nu se potrivește ca o greșeală de scriere.
Folosiți identificatorul la granița corectă
Pentru clienții conectați direct, o regulă MAC acceptată poate descrie o condiție de rețea la nivel de dispozitiv. Tot nu autentifică persoana care utilizează acel dispozitiv. Și nu face imposibilă schimbarea unei adrese de hardware raportate.
Dincolo de un router, folosiți informațiile disponibile la proxy: o subrețea sursă controlată, o identitate de proxy autentificată sau o integrare de identitate de încredere proiectată explicit. Citirea tabelului de închirieri al unui server DHCP este un sistem de corelare suplimentar, nu o extindere a razei ARP.
Când revizuiți o regulă, desenați traseul de la client la Squid și marcați fiecare router. Apoi întrebați dacă compilarea instalată chiar acceptă ACL-ul și modul de căutare. Acele două verificări explică mult mai mult decât lipirea repetată a MAC-ului clientului în aceeași regulă.