Thông tin xác thực Apache ProxyRemote và proxy-chain-auth

Máy khách có thể xác thực với proxy chuyển tiếp của Apache bằng một tài khoản, trong khi Apache xác thực với proxy cha bằng tài khoản khác:

client ── client account ── Apache ── parent account ── parent proxy

Với tài khoản cha cố định trên httpd 2.4.59 hoặc mới hơn, ProxyRemote chấp nhận đối số thứ ba:

ProxyRemote "*" "http://parent.example:3128" "parent-user:replace_with_private_password"

Điều này bổ sung cho cấu hình proxy chuyển tiếp có kiểm soát truy cập hiện có, chẳng hạn như một trình lắng nghe riêng yêu cầu cả IP máy khách và đăng nhập proxy. Tài khoản thuộc về proxy cha đã chọn. Hãy bảo vệ cấu hình chứa tài khoản đó và chọn phạm vi khớp mà việc triển khai yêu cầu.

Apache gửi thông tin xác thực Basic này trước, không chờ thử thách trước. Điều đó khiến việc vận chuyển và chính sách tài khoản của kết nối cha trở nên quan trọng; phiên HTTPS sau đó của trang web không tự bảo vệ bước nhảy HTTP văn bản thuần tới proxy cha.

Khi nào tài khoản đến giống nhau nên tiếp tục

Thông thường Apache tiêu thụ xác thực proxy hướng tới chính nó. Thiết lập môi trường proxy-chain-auth thay vào đó cho phép chuyển thông tin xác thực proxy của máy khách tới proxy tiếp theo:

SetEnv proxy-chain-auth On

Điều này chỉ phù hợp với một chuỗi xác thực được chia sẻ có chủ đích. Nó chuyển tiếp vật liệu tài khoản đến; nó không tự tạo tên người dùng và mật khẩu cha khác.

Với đối số thông tin xác thực rõ ràng của ProxyRemote, proxy-chain-auth không có tác dụng. Hãy chọn nguồn thông tin xác thực một cách có chủ đích thay vì xếp chồng cả hai thiết lập với hy vọng mật khẩu hoạt động sẽ được chọn.

Các cơ chế này xác thực các bước nhảy proxy. Tiêu đề Authorization của trang đích vẫn là một trao đổi riêng.