Squid і паўтаральныя імёны карыстальнікаў у каталогах LDAP
Праектуйце выбар каталога і кэш аўтэнтыфікацыі Squid разам, калі незалежныя каталогі LDAP змяшчаюць адно і тое ж кароткае імя карыстальніка.
Калі два незалежныя каталогі абодва змяшчаюць alex, проксі патрэбны выбар каталога перад праверкай пароля. Спроба спачатку A, потым B хавае гэты выбар унутры збою аўтэнтыфікацыі і можа зблытаць недаступны каталог з адхіленым сакрэтам.
Дзве схемы могуць зрабіць ідэнтычнасць відавочнай:
- Кваліфікаваны ўваход. Імя накшталт
[email protected]выбірае праз дыспетчар фіксаваны каталог, вызначаны адміністратарам. Захоўвайце кваліфікаваную ідэнтычнасць для аўтарызацыі і журналаў. Не ператварайце суфікс, дасланы кліентам, у адвольны адрас сервера LDAP. - Стабільны давераны кантэкст запыту. Слухач або іншы падтрыманы кантэкст выбірае каталог. Вызначце, што адбываецца, калі чалавек перамяшчаецца або выкарыстоўвае іншы слухач; месца ў сетцы не з'яўляецца асабістай ідэнтычнасцю.
Рэплікі аднаго каталога іншыя: яны падзяляюць прастору імёнаў ідэнтычнасці. Непавязаныя каталогі не становяцца рэплікамі таму, што абодва выкарыстоўваюць LDAP.
Зрабіце ключ кэша ўліковых даных Squid узгодненым з выбарам памочніка. Даведка auth_param апісвае key_extras для перадачы дадатковага кантэксту і ўключэння яго ў ключ кэша, уключаючы выпадак аднолькавых імёнаў, якія адрозніваюцца портам праслухоўвання. Памочнік павінен разумець пашыраныя ўваходныя даныя, а выбраны макрас павінен быць даступны на гэтай стадыі аўтэнтыфікацыі.
Аддавайце перавагу стабільнаму кантэксту. Часта зменлівы IP кліента можа памножыць ідэнтычнасці кэша і змяніць элементы кіравання, якія чакаюць адну ідэнтычнасць карыстальніка.
Вызначце асобна невядомы каталог, невядомы ўліковы запіс, адхілены пароль і недаступны каталог. Уліковы запіс North не павінен моўчкі станавіцца Alex з South, калі North недаступны. Трымайце гэтыя вынікі адрознымі ў журналах, не запісваючы паролі.