Låt Apache kräva både klient-IP och proxyinloggning

Kombinera Apache 2.4-proxyautentisering med begränsningar av klientadressen utan att ett enda villkor ger åtkomst på egen hand.

När en Apache 2.4-forwardproxy ska kräva både en godkänd källadress och en giltig inloggning använder du <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Infoga detta auktorisationsfragment i den befintliga begränsade proxyn. Byt ut klientadressen och sökvägen till kontofilen; autentiserings- och auktorisationsmodulerna måste vara tillgängliga, och filen måste redan innehålla de avsedda användarna. Detta är inte en fullständig lyssnarinstallation.

Två detaljer avgör policyn. Containern uttrycker AND; att placera positiva krav bredvid varandra kräver inte nödvändigtvis alla. Require valid-user godkänner ett autentiserat konto, medan Require user alice namnger ett konto. Ett ensamt Require user uttrycker ingenting. Se Apaches referens för användarauktorisering.

KällaInloggningKrävt resultat
TillåtenGiltigDen avsedda auktoriserade begäran tillåts.
TillåtenSaknas eller är ogiltigIngen auktoriserad vidarebefordran.
Utanför tillåten källaGiltigIngen auktoriserad vidarebefordran.

Granska den omgivande virtuella värden och andra matchande auktorisationsavsnitt innan du förlitar dig på fragmentet, och @@testa auktorisationsgränsen; mer specifik konfiguration kan ändra det faktiska resultatet. Basic-inloggning kräver också en skyddad transport mellan klient och proxy. Målens HTTPS börjar senare och skyddar inte det tidigare utbytet av autentiseringsuppgifter i klartext.

Relaterade artiklar