Quy tắc MAC của Squid có thể vươn tới đâu?

Một quy tắc proxy dựa trên MAC có thể hoạt động với máy tính đặt cạnh máy chủ Squid nhưng lại thất bại với máy tính giống hệt như vậy ở một mạng con khác. Bộ định tuyến thay đổi điều mà proxy có thể quan sát.

ARP phân giải địa chỉ tầng liên kết của một láng giềng IPv4 trên liên kết cục bộ. Nó không mang địa chỉ Ethernet gốc xuyên qua mọi bước nhảy đã định tuyến. Vì vậy một máy khách được tiếp cận qua tuyến đường từ xa không tương đương với láng giềng kết nối trực tiếp chỉ vì Squid nhìn thấy địa chỉ IP của nó.

Với IPv4, tài liệu ACL của Squid giới hạn việc tra cứu MAC cho các máy khách trong cùng mạng con và yêu cầu một bản dựng có hỗ trợ liên quan. Hãy kiểm tra cả hai điều kiện trước khi coi một ACL MAC không khớp là lỗi chính tả.

Dùng định danh ở đúng ranh giới

Với các máy khách kết nối trực tiếp, một quy tắc MAC được hỗ trợ có thể mô tả tình trạng mạng ở cấp thiết bị. Nó vẫn không xác thực người đang vận hành thiết bị đó. Và cũng không làm cho địa chỉ phần cứng được báo cáo trở nên bất biến.

Khi đi qua bộ định tuyến, hãy dùng thông tin có sẵn tại proxy: một mạng con nguồn được kiểm soát, một danh tính proxy đã xác thực, hoặc một tích hợp danh tính tin cậy được thiết kế rõ ràng. Đọc bảng thuê của máy chủ DHCP là một hệ thống tương quan bổ sung, không phải phần mở rộng tầm với của ARP.

Khi xem xét một quy tắc, hãy vẽ đường đi từ máy khách đến Squid và đánh dấu mọi bộ định tuyến. Sau đó hỏi liệu bản dựng đã cài đặt có thực sự hỗ trợ ACL và chế độ tra cứu hay không. Hai bước kiểm tra đó giải thích nhiều hơn hẳn việc dán MAC của máy khách vào cùng một quy tắc hết lần này đến lần khác.