Ауторизација напредног проксија у Apache-у: Require и AuthMerging
Пратите глобалну ауторизацију проксија и ону на виртуелном домаћину кроз Apache-ова правила спајања секција, уместо да proxy.conf третирате као засебан слој политике.
Правило у proxy.conf није посебна класа правила. Apache учитава укључену конфигурацију у своје конфигурационо стабло; обухватајућа глобална, VirtualHost или одговарајућа секција одређује како директива учествује.
Почните са слушаоцем и виртуелним домаћином који опслужују захтев напредног проксија. Затим прикупите одговарајуће Proxy секције из тог контекста и главне конфигурације. Важан је редослед обраде секција, а не само то која је датотека последња уређена.
Ауторизација није увек кумулативна
Уз подразумевано понашање AuthMerging Off, ауторизација се наслеђује док каснија примењива секција не пружи сопствену логику ауторизације. Та нова логика може заменити претходне захтеве уместо да дода још једно ограничење.
| Подешавање | Комбинација са најближом претходном секцијом ауторизације |
|---|---|
| Off | Нова ауторизација може надјачати наслеђену логику |
| And | Оба скупа морају да ауторизују |
| Or | Било који скуп може да ауторизује |
Сам AuthMerging је локалан за секцију која га садржи. Не претпостављајте да једно подешавање And мења сваку каснију секцију.
Држите намеравану политику експлицитном где је могуће. Два реда Require без обухватајућег контејнера ауторизације су имплицитно алтернативе, па IP правило плус valid-user није аутоматски „IP и корисник“. Користите RequireAll када оба услова припадају истој одлуци.
Прегледајте комплетну одговарајућу конфигурацију пре него што промените прокси налог или отворите приступ. Затим тестирајте дозвољене и одбијене случајеве на активном слушаоцу. Захтев може бити одбијен—или неочекивано дозвољен—јер је друга секција пружила ефективну ауторизацију.