Squid-avlyssning kontra explicit proxy-autentisering
Förklara varför vanlig explicit proxy-autentisering inte bara kan läggas till i en Squid-avlyssningslyssnare.
En klient för explicit proxy vet att den talar med en proxy. En avlyssnad webbläsare tror att den anslöt till webbplatsen. Den skillnaden är central för autentisering.
Vanlig proxy-autentisering använder en proxy-utmaning och ett proxy-auktoriseringssvar. En klient som inte valde en proxy bör inte lättvindigt skicka proxy-uppgifter till en oväntad mellanhand.
Därför stöder inte Squids avlyssningsvägledning att proxy_auth helt enkelt kombineras med avlyssningsläget. En fungerande Basic-autentiseringshjälpare ändrar inte vad webbläsaren tror att den fjärranslutna slutpunkten är.
Om identifierade användare behöver en vanlig autentiserad vidarebefordrande proxy, konfigurera klienterna explicit, antingen direkt eller via en lämplig hanterad proxykonfiguration. Håll den lyssnaren och dess autentiseringspolicy åtskilda från en avlyssningslyssnare.
En autentiseringsportal, ett identitetssystem på nätverksnivå eller en TLS-avlyssningslösning är en annan design med andra krav på förtroende och driftsättning. Det är inte en enradig lagning för det saknade explicita proxy-utbytet.
Lös inte avsaknaden av en uppmaning genom att göra den avlyssnade tjänsten offentlig eller genom att tillåta varje klient. Bestäm först om kravet är explicit användarautentisering eller avlyssning av trafik som aldrig konfigurerades för en proxy. De kräver olika antaganden.