Заставить Apache требовать и IP клиента, и вход в прокси

Объедините в Apache 2.4 аутентификацию прокси с ограничением адреса клиента, не позволяя одному условию отдельно открывать доступ.

Если прямой прокси Apache 2.4 должен требовать и одобренный адрес источника, и действительный вход, используйте <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Встройте этот фрагмент авторизации в существующий ограниченный прокси. Замените адрес клиента и путь к файлу учётных записей; модули аутентификации и авторизации должны быть доступны, а файл уже должен содержать нужных пользователей. Это не полное развёртывание слушателя.

Политику определяют две детали. Контейнер выражает AND; соседние положительные требования не обязательно требуют выполнения всех. Require valid-user принимает аутентифицированную учётную запись, а Require user alice называет одну учётную запись. Одинокий Require user ничего не выражает. См. справочник Apache по авторизации пользователей.

ИсточникВходТребуемый результат
РазрешёнВерныеПредусмотренный авторизованный запрос разрешён.
РазрешёнОтсутствуют или неверныАвторизованная пересылка запрещена.
Источник вне разрешённого диапазонаВерныеАвторизованная пересылка запрещена.

Прежде чем полагаться на фрагмент, проверьте охватывающий виртуальный хост и другие совпадающие разделы авторизации; проверьте границу авторизации более конкретная конфигурация может изменить фактический результат. Для Basic-входа также нужен защищённый транспорт между клиентом и прокси. HTTPS назначения начинается позже и не защищает более раннюю передачу незашифрованных учётных данных.

Похожие статьи