Mga kredensyal ng Apache ProxyRemote kumpara sa proxy-chain-auth

Maaaring magpatunay ng pagkakakilanlan ang isang kliyente sa forward proxy ng Apache gamit ang isang account, habang ang Apache ay nagpapatunay sa parent proxy gamit ang iba:

client ── client account ── Apache ── parent account ── parent proxy

Para sa fixed na parent account sa httpd 2.4.59 o mas bago, tumatanggap ang ProxyRemote ng ikatlong argumento:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Dinadagdagan nito ang umiiral na access-controlled na forward-proxy configuration, tulad ng pribadong listener na nangangailangan ng client IP at proxy login. Ang account ay pag-aari ng piniling parent. Protektahan ang configuration na naglalaman nito, at piliin ang saklaw ng pagtutugma na kailangan ng deployment.

Ipinapadala ng Apache nang maaga ang mga kredensyal na Basic na ito, nang hindi muna naghihintay ng hamon. Dahil dito, mahalaga ang transport at patakaran sa account ng koneksyon sa parent; hindi nito mismong pinoprotektahan ng susunod na HTTPS session ng site ang isang malinaw na HTTP hop patungo sa parent.

Kailan dapat magpatuloy ang parehong papasok na account

Karaniwang ginagamit ng Apache ang authentication ng proxy na nakatuon sa kanya. Sa halip, pinapayagan ng setting ng kapaligiran na proxy-chain-auth ang pagpapasa ng mga kredensyal ng proxy ng kliyente sa susunod na proxy:

SetEnv proxy-chain-auth On

Angkop lamang ito para sa sadyang pinagsasaluhang authentication chain. Ipinapasa nito ang materyal ng papasok na account; hindi ito gumagawa ng ibang parent username at password.

Sa tahasang argumento ng kredensyal ng ProxyRemote, walang epekto ang proxy-chain-auth. Sadyang piliin ang pinagmulan ng kredensyal sa halip na patung-patungin ang dalawang setting sa pag-asang mapipili ang password na gumagana.

Ina-authenticate ng mga mekanismong ito ang mga hop ng proxy. Ang Authorization header ng destinasyong site ay nananatiling hiwalay na palitan.