Prihlasovacie údaje Apache ProxyRemote verzus proxy-chain-auth

Klient sa môže autentifikovať voči doprednému proxy Apache jedným kontom, zatiaľ čo Apache sa autentifikuje voči nadradenému proxy iným:

client ── client account ── Apache ── parent account ── parent proxy

Pre pevné konto nadradeného proxy na httpd 2.4.59 alebo novšom ProxyRemote prijíma tretí argument:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Toto dopĺňa existujúcu konfiguráciu dopredného proxy s riadením prístupu, napríklad súkromný listener, ktorý vyžaduje aj IP adresu klienta, aj prihlásenie k proxy. Konto patrí zvolenému nadradenému proxy. Chráňte konfiguráciu, ktorá ho obsahuje, a zvoľte rozsah zhody požadovaný nasadením.

Apache odosiela tieto prihlasovacie údaje Basic vopred, bez toho, aby najprv čakal na výzvu. Preto je dôležitá doprava a zásady kont spojenia s nadradeným proxy; neskoršia relácia HTTPS webu sama nechráni nešifrovaný HTTP skok k nadradenému proxy.

Kedy má ten istý prichádzajúci účet pokračovať

Apache zvyčajne spotrebúva autentifikáciu proxy adresovanú jemu samému. Nastavenie prostredia proxy-chain-auth namiesto toho umožňuje odovzdať prihlasovacie údaje proxy klienta ďalšiemu proxy:

SetEnv proxy-chain-auth On

To je vhodné len pre zámerne zdieľanú autentifikačnú reťaz. Odovzdáva prichádzajúci materiál účtu ďalej; nevymýšľa iné používateľské meno a heslo nadradeného proxy.

S explicitným argumentom prihlasovacích údajov ProxyRemote nemá proxy-chain-auth žiadny účinok. Voľte zdroj údajov vedome, namiesto vrstvenia oboch nastavení v nádeji, že bude vybrané to heslo, ktoré funguje.

Tieto mechanizmy autentifikujú skoky proxy. Hlavička Authorization cieľového webu zostáva samostatnou výmenou.