Squid i els noms d'usuari duplicats als directoris LDAP

Si dos directoris independents contenen tots dos alex, el proxy necessita triar un directori abans de comprovar la contrasenya. Provar primer A i després B amaga aquesta tria dins del fracàs d'autenticació i pot confondre un directori no disponible amb un secret rebutjat.

Dues disposicions poden fer explícita la identitat:

• Inici de sessió qualificat. Un nom com [email protected] selecciona mitjançant un despatxador un directori fix definit per l'administrador. Conserveu la identitat qualificada per a l'autorització i el registre. No convertiu un sufix proporcionat pel client en una adreça arbitrària de servidor LDAP.
• Context de sol·licitud fiable i estable. Un oient o un altre context admès selecciona el directori. Definiu què passa quan una persona es desplaça o fa servir un altre oient; la ubicació de xarxa no és identitat personal.

Les rèpliques d'un directori són diferents: comparteixen un espai de noms d'identitat. Els directoris no relacionats no esdevenen rèpliques pel fet que tots dos usin LDAP.

Feu que la clau de la memòria cau de credencials de Squid concordi amb la selecció de l'ajudant. La referència auth_param descriu key_extras per passar context addicional i incloure'l a la clau de memòria cau, inclòs el cas de noms idèntics distingits pel port d'escolta. L'ajudant ha d'entendre l'entrada ampliada, i la macro triada ha d'estar disponible en aquella etapa d'autenticació.

Preferiu context estable. Una IP de client que canvia sovint pot multiplicar les identitats de memòria cau i alterar controls que esperen una sola identitat d'usuari.

Definiu per separat directori desconegut, compte desconegut, contrasenya rebutjada i directori no disponible. El compte de North no ha de convertir-se silenciosament en l'Alex de South quan North no estigui disponible. Mantingueu aquests resultats distingibles als registres sense enregistrar contrasenyes.