กฎ MAC ของ Squid ไปได้ไกลแค่ไหน

กฎพร็อกซีที่อิง MAC อาจทำงานได้กับเดสก์ท็อปที่อยู่ข้างเซิร์ฟเวอร์ Squid แต่ล้มเหลวกับเดสก์ท็อปที่เหมือนกันทุกอย่างบนซับเน็ตอื่น เราเตอร์เปลี่ยนสิ่งที่พร็อกซีสังเกตได้

ARP แปลงที่อยู่ชั้นลิงก์ของเพื่อนบ้าน IPv4 บนลิงก์ท้องถิ่น มันไม่ได้พาที่อยู่ Ethernet ดั้งเดิมผ่านทุกฮอปที่ถูกเราเตอร์ เพราะฉะนั้นไคลเอนต์ที่เข้าถึงผ่านเส้นทางระยะไกลจึงไม่เทียบเท่ากับเพื่อนบ้านที่เชื่อมต่อโดยตรงเพียงเพราะ Squid มองเห็นที่อยู่ IP ของมัน

สำหรับ IPv4 เอกสาร ACL ของ Squid จำกัดการค้นหา MAC ไว้ที่ไคลเอนต์ในซับเน็ตเดียวกัน และต้องใช้บิลด์ที่มีการรองรับที่เกี่ยวข้อง ตรวจสอบทั้งสองเงื่อนไขก่อนถือว่า MAC ACL ที่ไม่ตรงกันเป็นเพียงการพิมพ์ผิด

ใช้อัตลักษณ์ที่ขอบเขตที่เหมาะสม

สำหรับไคลเอนต์ที่เชื่อมต่อโดยตรง กฎ MAC ที่รองรับสามารถอธิบายสภาวะเครือข่ายในระดับอุปกรณ์ได้ แต่มันยังไม่ยืนยันตัวบุคคลที่ใช้งานอุปกรณ์นั้น และไม่ได้ทำให้ที่อยู่ฮาร์ดแวร์ที่รายงานมาเปลี่ยนไม่ได้

เมื่อผ่านเราเตอร์ ให้ใช้ข้อมูลที่มีอยู่ที่พร็อกซี ได้แก่ ซับเน็ตต้นทางที่ควบคุมได้ อัตลักษณ์พร็อกซีที่ผ่านการยืนยัน หรือการรวมอัตลักษณ์ที่เชื่อถือได้ซึ่งออกแบบไว้อย่างชัดเจน การอ่านตารางสัญญาเช่าของเซิร์ฟเวอร์ DHCP เป็นระบบความสัมพันธ์เพิ่มเติม ไม่ใช่การขยายขอบเขตของ ARP

เมื่อตรวจทานกฎ ให้วาดเส้นทางจากไคลเอนต์ถึง Squid และทำเครื่องหมายทุกเราเตอร์ แล้วถามว่าบิลด์ที่ติดตั้งอยู่รองรับ ACL และโหมดการค้นหาจริงหรือไม่ การตรวจสองข้อนั้นอธิบายได้มากกว่าการวาง MAC ของไคลเอนต์ซ้ำ ๆ ลงในกฎเดิม