Squid a duplicitní uživatelská jména v adresářích LDAP
Navrhněte volbu adresáře a mezipaměť ověřování Squid společně, když nezávislé adresáře LDAP obsahují stejné krátké uživatelské jméno.
Pokud dva nezávislé adresáře obsahují oba alex, proxy potřebuje volbu adresáře dřív, než zkontroluje heslo. Zkoušení nejprve A a potom B skrývá tuto volbu uvnitř selhání ověření a může zaměnit nedostupný adresář s odmítnutým tajemstvím.
Dvě uspořádání mohou identitu zviditelnit:
- Kvalifikované přihlášení. Jméno jako
[email protected]vybírá prostřednictvím dispečeru pevný adresář určený správcem. Zachovejte kvalifikovanou identitu pro autorizaci a protokolování. Nepřevádějte příponu dodanou klientem na libovolnou adresu serveru LDAP. - Stabilní důvěryhodný kontext požadavku. Adresář vybírá listener nebo jiný podporovaný kontext. Definujte, co se stane, když se člověk přesune nebo použije jiný listener; síťová poloha není osobní identita.
Repliky jednoho adresáře jsou jiné: sdílejí jmenný prostor identit. Nesouvisející adresáře se nestávají replikami proto, že oba používají LDAP.
Slaďte klíč mezipaměti přihlašovacích údajů Squid s volbou pomocníka. Odkaz auth_param popisuje key_extras pro předávání dalšího kontextu a jeho zahrnutí do klíče mezipaměti, včetně případu shodných jmen rozlišených naslouchacím portem. Pomocník musí rozumět rozšířenému vstupu a zvolené makro musí být v této fázi ověřování dostupné.
Upřednostněte stabilní kontext. Často se měnící IP adresa klienta může znásobit identity v mezipaměti a změnit ovládací prvky, které očekávají jednu identitu uživatele.
Definujte odděleně neznámý adresář, neznámý účet, odmítnuté heslo a nedostupný adresář. Účet North se nesmí tiše stát Alexem z South, když je North nedostupný. Udržujte tyto výsledky v protokolech rozlišitelné, aniž byste zaznamenávali hesla.