Kredencialet e Apache ProxyRemote kundrejt proxy-chain-auth

Një klient mund të autentikohet në një proxy përpara të Apache me një llogari, ndërsa Apache autentikohet në një proxy prind me një tjetër:

client ── client account ── Apache ── parent account ── parent proxy

Për një llogari fikse prindi në httpd 2.4.59 ose më të re, ProxyRemote pranon një argument të tretë:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Kjo plotëson konfigurimin ekzistues të proxy përpara me kontroll aksesi, si një dëgjues privat që kërkon njëkohësisht IP-në e klientit dhe hyrjen në proxy. Llogaria i përket prindit të zgjedhur. Mbroni konfigurimin që e përmban dhe zgjidhni shtrirjen e përputhjes që kërkon vendosja.

Apache i dërgon këto kredenciale Basic paraprakisht, pa pritur fillimisht një sfidë. Kjo i bën të rëndësishme transportin dhe politikën e llogarive të lidhjes me prindin; sesioni i mëvonshëm HTTPS i faqes nuk e mbron vetë një kërcim HTTP në tekst të qartë drejt prindit.

Kur e njëjta llogari hyrëse duhet të vazhdojë

Zakonisht Apache konsumon vërtetimin e proxy të drejtuar te vetja. Cilësimi i mjedisit proxy-chain-auth lejon përkundrazi përcjelljen e kredencialeve të proxy të klientit te proxy-ja tjetër:

SetEnv proxy-chain-auth On

Kjo është e përshtatshme vetëm për një zinxhir vërtetimi të ndarë qëllimisht. Ai përcjell materialin e llogarisë hyrëse; nuk shpik një emër përdoruesi dhe fjalëkalim tjetër për prindin.

Me argumentin e qartë të kredencialeve të ProxyRemote, proxy-chain-auth nuk ka asnjë efekt. Zgjidhni burimin e kredencialeve me vetëdije, në vend që të shtresoni të dy cilësimet me shpresën se do të zgjidhet fjalëkalimi që funksionon.

Këta mekanizma vërtetojnë kërcimet e proxy. Koka Authorization e një faqeje destinacioni mbetet një shkëmbim i veçantë.