Kako daleč lahko seže pravilo MAC v Squidu?
Razumite, kaj se lahko Squid nauči iz MAC naslova odjemalca na lokalni povezavi in kaj izgine za usmerjevalnikom.
Pravilo proxyja, ki temelji na MAC, lahko deluje za računalnik ob strežniku Squid in odpove za sicer enak računalnik v drugem podomrežju. Usmerjevalnik spremeni, kaj lahko proxy opazuje.
ARP razreši naslov povezovalnega sloja soseda IPv4 na lokalni povezavi. Ne prenaša izvirnega naslova Ethernet skozi vsak usmerjen skok. Zato odjemalec, dosežen po oddaljeni poti, ni enakovreden neposredno povezanemu sosedu samo zato, ker Squid vidi njegov naslov IP.
Za IPv4 dokumentacija ACL v Squidu omejuje iskanje po MAC na odjemalce v istem podomrežju in zahteva gradnjo z ustrezno podporo. Preverite oba pogoja, preden neujemajoč MAC ACL razglasite za tipkarsko napako.
Uporabite identifikator na pravi meji
Za neposredno povezane odjemalce lahko podprto pravilo MAC opiše omrežno stanje na ravni naprave. Še vedno pa ne overi osebe, ki napravo upravlja. In tudi ne naredi sporočenega naslova strojne opreme nespremenljivega.
Za usmerjevalnikom uporabite informacije, ki so na voljo v proxyju: nadzorovano izvorno podomrežje, overjeno identiteto proxyja ali izrecno zasnovano integracijo zaupanja vredne identitete. Branje tabele najemov strežnika DHCP je dodatni sistem korelacije, ne razširitev dosega ARP.
Ko pregledujete pravilo, narišite pot od odjemalca do Squida in označite vsak usmerjevalnik. Nato vprašajte, ali nameščena gradnja resnično podpira ACL in način iskanja. Ta dva preverjanja pojasnita veliko več kot ponovno lepljenje MAC odjemalca v isto pravilo.