Postavite odvojene pristupne podatke za nadređeni Squid proxy

Dajte Squidu 6.13 sopstvenu upstream prijavu umesto pretpostavke da lozinku klijenta treba poslati drugom operateru.

Prijava korisnika na vaš Squid i prijava Squida na nadređeni proxy koriste različite podatke. Nadređeni proxy može pripadati drugom operateru ili koristiti drugu bazu naloga. Prihvatanje lozinke klijenta ne znači da je treba poslati dalje upstream.

Squid 6.13 može dodati statičku prijavu definiciji nadređenog proxyja:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Gornja adresa i lozinka su dokumentacioni primeri. Dodajte prijavu postojećoj definiciji nadređenog proxyja da slučajno ne napravite drugi peer. Zadržite odvojenu politiku rutiranja koja određuje koji zahtevi moraju koristiti ovaj nadređeni proxy.

Odvojite opsege naloga

Downstream podešavanja auth_param proveravaju klijente vaše Squid instance. Opcija login peera daje podatke za drugi skok. Promena jednog ne ažurira automatski drugo.

Pratite dokumentovane zahteve autentifikacije nadređenog proxyja. Ovaj red nije potpuna konfiguracija za svaku autentifikacionu šemu vezanu za konekciju. Ako nadređeni proxy očekuje NTLM ili Negotiate, proverite podržani raspored peerova umesto stalnog menjanja lozinke u ovom polju.

Squid ima i opcije prosleđivanja pristupnih podataka kao što su PASS i PASSTHRU. Njihova semantika razlikuje se od namenskog upstream naloga i mogu otkriti peeru autentifikacione podatke klijenta. Ne birajte ih kao prečicu ako su predviđeni odvojeni nalozi.

Zaštitite konfiguraciju i testirajte pravi skok

Statička tajna čuva se u konfiguraciji. Ograničite pristup datotekama i rezervnim kopijama i uklonite osetljive podatke iz izlaza parsera ili debagovanja pre deljenja. Opcija ima sopstvena escape pravila: dokumentacija dozvoljava URL escape zapise i zahteva udvostručavanje doslovnog znaka procenta.

Ako klijenti prođu autentifikaciju, ali prosleđeni zahtevi i dalje ne uspevaju kod nadređenog proxyja, pregledajte tu upstream razmenu i nalog. Odvojite i zaštitu prenosa klijent–Squid i Squid–nadređeni proxy; šifrovanje prve veze ne obezbeđuje automatski drugu.

Povezani članci