ข้อมูลรับรอง Apache ProxyRemote เทียบกับ proxy-chain-auth

ไคลเอนต์สามารถพิสูจน์ตัวตนกับพร็อกซิส่งต่อของ Apache ด้วยบัญชีหนึ่ง ขณะที่ Apache พิสูจน์ตัวตนกับพร็อกซิแม่ด้วยอีกบัญชีหนึ่ง:

client ── client account ── Apache ── parent account ── parent proxy

สำหรับบัญชีแม่แบบคงที่บน httpd 2.4.59 หรือใหม่กว่า ProxyRemote ยอมรับอาร์กิวเมนต์ที่สาม:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

ส่วนนี้เสริมการกำหนดค่าพร็อกซิส่งต่อที่ควบคุมการเข้าถึงอยู่แล้ว เช่น ตัวรับฟังส่วนตัวที่ ต้องมีทั้ง IP ของไคลเอนต์และการเข้าสู่ระบบพร็อกซิ บัญชีนี้เป็นของพร็อกซิแม่ที่เลือกไว้ ปกป้องการกำหนดค่าที่มีบัญชีนี้ และเลือกขอบเขตการจับคู่ที่การติดตั้งต้องการ

Apache ส่งข้อมูลรับรอง Basic เหล่านี้ล่วงหน้าโดยไม่รอการท้าทายก่อน ทำให้การขนส่งและนโยบายบัญชีของการเชื่อมต่อกับพร็อกซิแม่มีความสำคัญ เซสชัน HTTPS ภายหลังของเว็บไซต์ไม่ได้ปกป้องการกระโดด HTTP แบบข้อความธรรมดาไปยังพร็อกซิแม่ด้วยตัวเอง

เมื่อใดควรใช้บัญชีขาเข้าเดียวกันต่อ

โดยปกติ Apache จะใช้การพิสูจน์ตัวตนพร็อกซิที่ส่งมาถึงตัวเอง การตั้งค่าสภาพแวดล้อม proxy-chain-auth แทนที่จะอนุญาตให้ส่งข้อมูลรับรองพร็อกซิของไคลเอนต์ไปยังพร็อกซิถัดไป:

SetEnv proxy-chain-auth On

วิธีนี้เหมาะเฉพาะกับห่วงโซ่การพิสูจน์ตัวตนที่แบ่งปันโดยตั้งใจเท่านั้น มันส่งต่อเนื้อหาบัญชีขาเข้าไปข้างหน้า ไม่ได้สร้างชื่อผู้ใช้และรหัสผ่านของพร็อกซิแม่ขึ้นใหม่

เมื่อใช้อาร์กิวเมนต์ข้อมูลรับรองที่ชัดเจนของ ProxyRemote แล้ว proxy-chain-auth ไม่มีผลใด ๆ จงเลือกแหล่งที่มาของข้อมูลรับรองอย่างตั้งใจ แทนที่จะซ้อนการตั้งค่าทั้งสองโดยหวังว่ารหัสผ่านที่ใช้ได้จะถูกเลือก

กลไกเหล่านี้พิสูจน์ตัวตนของการกระโดดพร็อกซิ ส่วนหัว Authorization ของเว็บไซต์ปลายทางยังคงเป็นการแลกเปลี่ยนแยกต่างหาก