Змусити Apache вимагати і IP клієнта, і вхід до проксі

Поєднайте в Apache 2.4 автентифікацію проксі з обмеженням адреси клієнта, не дозволяючи одній умові самостійно відкривати доступ.

Якщо прямий проксі Apache 2.4 має вимагати і схвалену адресу джерела, і дійсний вхід, використовуйте <RequireAll>:

<Proxy "*">
    AuthType Basic
    AuthName "Private proxy"
    AuthBasicProvider file
    AuthUserFile /etc/apache2/private-proxy-users
    <RequireAll>
        Require ip 192.0.2.25
        Require valid-user
    </RequireAll>
</Proxy>

Вбудуйте цей фрагмент авторизації в наявний обмежений проксі. Замініть адресу клієнта і шлях до файлу облікових записів; модулі автентифікації та авторизації мають бути доступні, а файл уже має містити потрібних користувачів. Це не повне розгортання слухача.

Політику визначають дві деталі. Контейнер виражає AND; розміщення позитивних вимог поруч не обов’язково вимагає виконання всіх. Require valid-user приймає автентифікований обліковий запис, а Require user alice називає один обліковий запис. Саме Require user нічого не виражає. Див. довідник Apache з авторизації користувачів.

ДжерелоВхідПотрібний результат
ДозволеноДійснийПередбачений авторизований запит дозволено.
ДозволеноВідсутній або недійснийАвторизоване пересилання заборонене.
Поза дозволеним джереломДійснийАвторизоване пересилання заборонене.

Перш ніж покладатися на фрагмент, перевірте охоплювальний віртуальний хост та інші відповідні розділи авторизації, а потім @@перевірте межу авторизації; конкретніша конфігурація може змінити фактичний результат. Для входу Basic також потрібен захищений транспорт між клієнтом і проксі. HTTPS призначення починається пізніше й не захищає попередній обмін обліковими даними у відкритому тексті.

Схожі статті