Защо Basic удостоверяването на Squid още приема стара парола

Промяната на файла с пароли на Squid не кара непременно всяка следваща заявка да извика отново помощната програма. При Basic удостоверяване Squid може да кешира успешно проверена двойка потребителско име и парола.

Настройката на Squid 6.13, която определя колко дълго тази проверка се счита за валидна, е credentialsttl. Например:

auth_param basic credentialsttl 5 minutes

Това е примерна стойност на политика, а не универсална препоръка. Изберете я според приемливото забавяне на отнемането на достъп и натоварването, което понася вашият удостоверителен бекенд.

Разделете три проверки

Първо потвърдете, че сте редактирали файла, използван от активната помощна програма. Правилна промяна в неизползван файл няма ефект. След това проверете, че програмата може да чете файла и да проверява новите данни на акаунта. Накрая тествайте нова прокси заявка през работещата инстанция, където се прилагат и кешът на данните и правилата за достъп.

Тествайте помощната програма и работещото прокси отделно. Програмата показва какво приема бекендът в момента, докато Squid може още да използва кеширана проверка. При подмяна проверете както че новите данни работят, така и че старите се отхвърлят след приложимия период на валидност на проверката.

Използвайте специален тестов акаунт при изследване на това поведение. Запазете еднакви заявката, източника на клиента и целта и избягвайте истински пароли в споделен изход от команди.

Планирайте отнемането на достъп вместо да разчитате на редакция на файл

По-кратката валидност на проверката увеличава работата на бекенда. Преди да я съкратите в натоварена услуга, оценете капацитета на помощните програми и проверете поведението с реалния бекенд. Не приемайте, че презареждането на конфигурацията изчиства всяко относимо състояние на удостоверяването, ако това не е установено за вашата версия и настройка.

За спешно премахване на достъпа изрична забрана за акаунт или източник може да осигури отделна граница. Тествайте тази забрана от засегнатия маршрут, вместо да разчитате само на изтриване от файла с пароли.

Тази настройка описва кеширане на Basic проверката. Схемите за удостоверяване, ориентирани към връзката, имат допълнително състояние и не бива по аналогия да получават същия модел за отнемане на достъп.