Чаму аўтэнтыфікацыя Basic у Squid усё яшчэ прымае стары пароль

Змена файла пароляў Squid не абавязкова прымушае кожны наступны запыт зноў выклікаць дапаможную праграму. Пры аўтэнтыфікацыі Basic Squid можа кэшаваць паспяхова правераную пару імя карыстальніка і пароля.

У Squid 6.13 налада, якая вызначае, колькі часу гэтая праверка лічыцца сапраўднай, называецца credentialsttl. Напрыклад:

auth_param basic credentialsttl 5 minutes

Гэта прыклад значэння палітыкі, а не ўніверсальная рэкамендацыя. Выбірайце яго з улікам прымальнай затрымкі адклікання доступу і нагрузкі, якую вытрымае ваша сістэма аўтэнтыфікацыі.

Раздзяліце тры праверкі

Спачатку ўпэўніцеся, што змянілі файл, якім карыстаецца актыўная дапаможная праграма. Правільная змена невыкарыстоўванага файла не мае эфекту. Потым праверце, ці можа праграма прачытаць файл і праверыць новыя даныя ўліковага запісу. Нарэшце, выканайце новы запыт праз працоўны асобнік проксі, дзе таксама дзейнічаюць кэш уліковых даных і правілы доступу.

Правярайце дапаможную праграму і працоўны проксі асобна. Праграма паказвае, што сістэма аўтэнтыфікацыі прымае цяпер, а Squid можа яшчэ выкарыстоўваць кэшаваны вынік праверкі. Пры замене даных праверце і працу новых, і адхіленне старых пасля адпаведнага тэрміну дзеяння праверкі.

Для даследавання выкарыстоўвайце асобны тэставы ўліковы запіс. Захоўвайце аднолькавымі запыт, крыніцу кліента і мэту, не змяшчайце сапраўдныя паролі ў агульным вывадзе каманд.

Плануйце адкліканне доступу, а не спадзявайцеся на змену файла

Карацейшы тэрмін дзеяння праверкі павялічвае працу сістэмы аўтэнтыфікацыі. Перш чым скарачаць яго ў нагружанай службе, ацаніце магчымасці дапаможных праграм і праверце паводзіны з рэальнай сістэмай. Не лічыце, што перачытванне канфігурацыі ачышчае ўсе звязаныя станы аўтэнтыфікацыі, калі гэта не ўстаноўлена для вашай версіі і налад.

Для тэрміновага адклікання доступу яўная забарона ўліковага запісу або крыніцы можа стварыць асобную мяжу. Праверце гэтую забарону з закранутага маршруту замест таго, каб спадзявацца толькі на выдаленне з файла пароляў.

Гэтая налада апісвае кэшаванне праверкі Basic. У арыентаваных на злучэнне схем аўтэнтыфікацыі ёсць дадатковыя станы; пераносіць на іх тую ж мадэль адклікання доступу па аналогіі не варта.