Облікові дані Apache ProxyRemote і proxy-chain-auth

Клієнт може автентифікуватися на прямому проксі Apache з одним обліковим записом, а Apache автентифікується на батьківському проксі з іншим:

client ── client account ── Apache ── parent account ── parent proxy

Для фіксованого облікового запису батьківського проксі на httpd 2.4.59 або новішому ProxyRemote приймає третій аргумент:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Це доповнює наявну конфігурацію прямого проксі з контролем доступу, наприклад приватний слухач, який вимагає і IP-адресу клієнта, і вхід на проксі. Обліковий запис належить вибраному батьківському проксі. Захистіть конфігурацію, що його містить, і виберіть область збігу, потрібну розгортанню.

Apache надсилає ці Basic-облікові дані заздалегідь, не чекаючи спочатку виклику. Тому транспорт і політика облікових записів з'єднання з батьківським проксі важливі; пізніша HTTPS-сесія сайту сама не захищає перехід HTTP відкритим текстом до батьківського проксі.

Коли той самий вхідний обліковий запис має продовжуватися

Зазвичай Apache споживає автентифікацію проксі, адресовану йому самому. Натомість налаштування середовища proxy-chain-auth дозволяє передавати проксі-облікові дані клієнта наступному проксі:

SetEnv proxy-chain-auth On

Це підходить лише для навмисно спільного ланцюжка автентифікації. Воно передає далі матеріал вхідного облікового запису; воно не вигадує інші ім'я користувача та пароль батьківського проксі.

З явним аргументом облікових даних ProxyRemote налаштування proxy-chain-auth не діє. Вибирайте джерело облікових даних усвідомлено, а не нашаровуйте обидва налаштування в надії, що буде вибрано робочий пароль.

Ці механізми автентифікують переходи проксі. Заголовок Authorization цільового сайту залишається окремим обміном.