Hur långt kan en Squid-MAC-regel nå?
Förstå vad Squid kan lära sig av en klients MAC-adress på en lokal länk och vad som försvinner bakom en router.
En MAC-baserad proxyregel kan fungera för en dator bredvid Squid-servern och misslyckas för en i övrigt identisk dator på ett annat subnät. Routern ändrar vad proxyn kan observera.
ARP löser länklagrets adress för en IPv4-granne på den lokala länken. Den bär inte den ursprungliga Ethernet-adressen genom varje routad hopp. Därför är en klient som nås via en fjärrväg inte likvärdig med en direkt ansluten granne bara för att Squid ser dess IP-adress.
För IPv4 begränsar Squids ACL-dokumentation MAC-slagning till klienter på samma subnät och kräver ett bygge med relevant stöd. Kontrollera båda villkoren innan du betraktar en MAC-ACL som inte matchar som ett skrivfel.
Använd identifieraren vid rätt gräns
För direkt anslutna klienter kan en stödd MAC-regel beskriva ett nätverksvillkor på enhetsnivå. Den autentiserar fortfarande inte personen som använder enheten. Och den gör inte en rapporterad hårdvaruadress omöjlig att ändra.
Bakom en router använder du information som finns tillgänglig på proxyn: ett kontrollerat källsubnät, en autentiserad proxyidentitet eller en uttryckligen utformad integration av en betrodd identitet. Att läsa en DHCP-servers leasetabell är ett extra korrelationssystem, inte en förlängning av ARP:s räckvidd.
När du granskar en regel, rita vägen från klient till Squid och markera varje router. Fråga sedan om det installerade bygget verkligen stöder ACL:en och sökmetoden. De två kontrollerna förklarar mycket mer än att upprepat klistra in klientens MAC i samma regel.