Squid i duplicirana korisnička imena u LDAP imenicima
Projektirajte odabir imenika i Squidov keš za autentifikaciju zajedno kada nezavisni LDAP imenici sadrže isto kratko korisničko ime.
Ako dva nezavisna imenika oba sadrže alex, proxyju je potreban odabir imenika prije provjere lozinke. Pokušaj prvo A pa B skriva taj odabir unutar neuspjeha autentifikacije i može zamijeniti nedostupan imenik s odbijenom tajnom.
Dva rasporeda mogu učiniti identitet eksplicitnim:
- Kvalificirana prijava. Ime poput
[email protected]odabire preko dispečera fiksni imenik koji je odredio administrator. Sačuvajte kvalificirani identitet za autorizaciju i zapisivanje. Ne pretvarajte sufiks koji dostavi klijent u proizvoljnu adresu LDAP poslužitelja. - Stabilan pouzdan kontekst zahtjeva. Imenik odabire slušatelj ili drugi podržani kontekst. Definirajte što se događa kada se osoba kreće ili koristi drugi slušatelj; mrežna lokacija nije osobni identitet.
Replike jednog imenika su drukčije: dijele prostor imena identiteta. Nepovezani imenici ne postaju replike zato što oba koriste LDAP.
Uskladite ključ Squidovog keša vjerodajnica s odabirom pomoćnika. Referenca auth_param opisuje key_extras za prenošenje dodatnog konteksta i njegovo uključivanje u ključ keša, uključujući slučaj istovjetnih imena razlučenih portom za slušanje. Pomoćnik mora razumjeti prošireni ulaz, a odabrani makro mora biti dostupan u toj fazi autentifikacije.
Preferirajte stabilan kontekst. Često promjenjiva IP adresa klijenta može umnožiti identitete u kešu i promijeniti kontrole koje očekuju jedan korisnički identitet.
Odvojeno definirajte nepoznat imenik, nepoznat račun, odbijenu lozinku i nedostupan imenik. Račun North ne smije tiho postati Alex iz Southa kada North nije dostupan. Održite te ishode razlučivima u zapisima bez bilježenja lozinki.