Waarom Squid Basic LDAP-verifikasie steeds om 'n wagwoord vra

'n Squid-konfigurasie kan wagwoorde teen Active Directory kontroleer en steeds 'n aanmeldvenster lewer. Niks is noodwendig fout nie. AD beskryf waar die rekening woon; dit sê nie hoe die blaaier sal bewys wie die gebruiker is nie.

In hierdie reël is die belangrike woord basic:

auth_param basic realm Windows Logon

Die woorde ná realm benoem die beskermde verifikasieruimte. Hulle vra nie 'n Windows-toegangstoken aan nie en skakel die uitdaging ook nie na Negotiate oor nie. 'n Basic LDAP-hulpprogram ontvang die verskafde geloofsbriewe en kontroleer dit teen die gids.

'n Tipiese konfigurasie het drie afsonderlike besluite: hoe Squid die kliënt uitdaag, hoe 'n hulpprogram daardie antwoord valideer, en watter geoutentiseerde gebruikers of groepe 'n toegangsreël toelaat. 'n Suksesvolle LDAP-groepsoektog raak net die laaste besluit. Dit kan nie die blaaier se ontbrekende geloofsbriewe verskaf nie.

As die vereiste 'n stil aanmelding is

Kies 'n blaaierondersteunde geïntegreerde verifikasieskema en stel die bedienerkant-voorvereistes daarvan op. Vir Kerberos-gebaseerde Negotiate sluit dit die diensidentiteit en sleutelmateriaal in, sowel as kliëntbeleid wat verifikasie aan daardie proxy toelaat. Om net die hulpprogram se uitvoerbare lêer onder 'n Basic-konfigurasie te verander, sal nie daardie omskakeling doen nie.

Besluit watter uitkoms jy nodig het voordat jy 'n werkende LDAP-opstelling vervang. Om dieselfde gebruikersnaam en wagwoord as vir 'n werkstasie-aanmelding te aanvaar, is 'n redelike Basic-vereiste. Om die aangemelde Windows-identiteit te hergebruik sonder om daardie wagwoord te vra, is 'n ander vereiste, met ander protokol- en ontplooiingswerk.