Ako ďaleko dosiahne pravidlo MAC v Squide?
Pochopte, čo sa Squid môže dozvedieť z MAC adresy klienta na lokálnom spoji a čo zmizne za routerom.
Pravidlo proxy založené na MAC môže fungovať pre počítač vedľa servera Squid a zlyhať pre inak rovnaký počítač v inej podsieti. Router mení to, čo môže proxy pozorovať.
ARP prekladá adresu linkovej vrstvy IPv4 suseda na lokálnom spoji. Neprenáša pôvodnú Ethernet adresu cez každý smerovaný skok. Preto klient dosiahnutý vzdialenou cestou nie je ekvivalentný priamo pripojenému susedovi len preto, že Squid vidí jeho IP adresu.
Pre IPv4 obmedzuje dokumentácia ACL v Squide vyhľadávanie MAC na klientov v tej istej podsieti a vyžaduje zostavenie s príslušnou podporou. Overte obe podmienky, kým nezhodujúce MAC ACL vyhlásite za preklep.
Použite identifikátor na správnej hranici
Pre priamo pripojených klientov môže podporované pravidlo MAC opísať sieťový stav na úrovni zariadenia. Stále však neoveruje osobu, ktorá toto zariadenie obsluhuje. Ani nerobí nahlásenú hardvérovú adresu nezmeniteľnou.
Za routerom použite informácie dostupné na proxy: riadenú zdrojovú podsieť, overenú identitu proxy alebo výslovne navrhnutú integráciu dôveryhodnej identity. Čítanie tabuľky prenájmov servera DHCP je dodatočný korelačný systém, nie rozšírenie dosahu ARP.
Pri kontrole pravidla nakreslite cestu od klienta k Squidu a označte každý router. Potom sa spýtajte, či nainštalované zostavenie skutočne podporuje ACL a režim vyhľadávania. Tie dve kontroly vysvetlia oveľa viac než opakované vkladanie MAC klienta do toho istého pravidla.