Як далеко може сягнути правило MAC у Squid?
Зрозумійте, що Squid може дізнатися з MAC-адреси клієнта на локальному з'єднанні і що зникає за маршрутизатором.
Правило проксі на основі MAC може працювати для комп'ютера поруч із сервером Squid і не працювати для такого самого комп'ютера в іншій підмережі. Маршрутизатор змінює те, що проксі може спостерігати.
ARP визначає адресу канального рівня сусіда IPv4 на локальному з'єднанні. Він не переносить початкову адресу Ethernet через кожен маршрутизований перехід. Тому клієнт, доступний через віддалений маршрут, не є еквівалентним безпосередньо підключеному сусідові лише тому, що Squid бачить його IP-адресу.
Для IPv4 документація ACL у Squid обмежує пошук за MAC клієнтами тієї самої підмережі й вимагає збірки з відповідною підтримкою. Перевірте обидві умови, перш ніж вважати невідповідне правило MAC ACL друкарською помилкою.
Використовуйте ідентифікатор на правильній межі
Для безпосередньо підключених клієнтів підтримуване правило MAC може описати стан мережі на рівні пристрою. Воно все одно не автентифікує людину, яка користується цим пристроєм. І не робить заявлену апаратну адресу неможливою для зміни.
За маршрутизатором використовуйте інформацію, доступну на проксі: контрольовану вихідну підмережу, автентифіковану ідентичність проксі або явно спроєктовану інтеграцію довіреної ідентичності. Читання таблиці оренди DHCP-сервера — це додаткова система кореляції, а не розширення охоплення ARP.
Переглядаючи правило, намалюйте шлях від клієнта до Squid і позначте кожен маршрутизатор. Потім запитайте, чи встановлена збірка справді підтримує ACL і режим пошуку. Ці дві перевірки пояснюють значно більше, ніж повторне вставляння MAC клієнта в те саме правило.