Окремі облікові дані для батьківського проксі Squid

Облікові дані користувача вашого Squid і дані входу Squid до батьківського проксі різні. Батьківський проксі може належати іншому оператору або використовувати іншу базу облікових записів. Прийняття пароля клієнта не означає, що його слід передавати вище.

Squid 6.13 може додати статичні дані входу до визначення батьківського проксі:

cache_peer 192.0.2.20 parent 3128 0 no-query default name=upstream login=parentuser:ExampleOnly

Адреса й пароль вище — приклади з документації. Додайте дані входу до наявного визначення батьківського проксі, не створюючи випадково другий peer. Збережіть окрему політику маршрутизації, що визначає, які запити мають використовувати цього батьківського проксі.

Розділяйте області дії облікових записів

Налаштування auth_param нижчого рівня перевіряють клієнтів вашого екземпляра Squid. Параметр login у peer надає дані для іншого переходу. Зміна одного не оновлює інше автоматично.

Дотримуйтеся документованих вимог автентифікації батьківського проксі. Цей рядок не є повною конфігурацією для всіх схем автентифікації, орієнтованих на з’єднання. Якщо батьківський проксі очікує NTLM або Negotiate, перевірте підтримувану схему peer, а не змінюйте багато разів пароль у цьому полі.

Squid також має параметри передавання облікових даних, зокрема PASS і PASSTHRU. Їхня семантика відрізняється від окремого облікового запису вищого рівня, і вони можуть розкрити peer інформацію автентифікації клієнта. Не обирайте їх як скорочений шлях, якщо задумано окремі облікові записи.

Захистіть конфігурацію й перевіряйте правильний перехід

Статичний секрет зберігається в конфігурації. Обмежте доступ до файлів і резервних копій та приберіть секрети з виводу парсера чи налагодження перед поширенням. Параметр має власні правила екранування: документація дозволяє URL-екранування й вимагає подвоювати буквальний знак відсотка.

Якщо клієнти успішно автентифікуються, але переслані запити й далі не проходять на батьківському проксі, перевірте цей обмін вищого рівня й обліковий запис. Так само розділяйте захист транспорту клієнт–Squid і Squid–батьківський проксі: шифрування першого з’єднання не захищає друге автоматично.