Date de autentificare separate pentru un proxy părinte Squid

Datele utilizatorului pentru serviciul Squid și cele folosite de Squid pentru părintele său sunt diferite. Părintele poate aparține altui operator sau poate folosi altă bază de conturi. Acceptarea parolei unui client nu înseamnă că trebuie transmisă în amonte.

Squid 6.13 poate adăuga o autentificare statică la definiția unui părinte:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Adresa și parola de mai sus sunt exemple de documentație. Adăugați autentificarea la definiția părintelui existent ca să nu creați accidental un al doilea peer. Păstrați politica separată de rutare care decide ce cereri trebuie să folosească acest părinte.

Păstrați distincte domeniile conturilor

Setările auth_param din aval validează clienții instanței Squid. Opțiunea login a peer-ului furnizează date pentru alt salt. Schimbarea uneia nu o actualizează automat pe cealaltă.

Respectați cerințele de autentificare documentate ale părintelui. Această linie nu este o configurație completă pentru orice schemă de autentificare orientată pe conexiune. Dacă părintele cere NTLM sau Negotiate, verificați aranjamentul peer acceptat în loc să schimbați repetat parola câmpului.

Squid are și opțiuni de transmitere a datelor, precum PASS și PASSTHRU. Semantica lor diferă de un cont upstream dedicat și pot expune peer-ului informațiile de autentificare ale clientului. Nu le alegeți drept scurtătură dacă proiectul folosește conturi separate.

Protejați configurația și testați saltul corect

Secretul static este stocat în configurație. Limitați accesul la fișiere și copii de siguranță și eliminați datele sensibile din ieșirea parserului sau de depanare înainte de partajare. Opțiunea are reguli proprii de escape: documentația permite secvențe URL și cere dublarea caracterului procent literal.

Dacă autentificarea clienților reușește, dar cererile redirecționate încă eșuează la părinte, inspectați schimbul upstream și contul respectiv. Separați și protecția transportului client–Squid de Squid–părinte; criptarea primei conexiuni nu o protejează automat pe a doua.