Proč Basic autentizace Squidu stále přijímá staré heslo

Změna souboru hesel Squidu nemusí způsobit, že každý následující požadavek znovu zavolá pomocný proces. Při Basic autentizaci může Squid ukládat do mezipaměti úspěšně ověřenou dvojici uživatelského jména a hesla.

Nastavení Squidu 6.13, které určuje, jak dlouho se toto ověření považuje za platné, se jmenuje credentialsttl. Například:

auth_param basic credentialsttl 5 minutes

Jde o příklad hodnoty zásady, nikoli univerzální doporučení. Zvolte ji podle přijatelného zpoždění odebrání přístupu a zátěže, kterou autentizační backend zvládne.

Oddělte tři kontroly

Nejprve potvrďte, že jste upravili soubor používaný aktivním pomocným procesem. Správná změna nepoužívaného souboru nemá žádný účinek. Poté ověřte, že pomocný proces může soubor číst a ověřit nové údaje účtu. Nakonec otestujte nový požadavek přes běžící instanci proxy, kde se uplatňuje i mezipaměť údajů a pravidla přístupu.

Pomocný proces a běžící proxy testujte odděleně. Pomocný proces ukazuje, co backend nyní přijímá, zatímco Squid může stále používat ověření z mezipaměti. Při výměně údajů zkontrolujte, že nové fungují a že staré jsou po uplynutí příslušného ověřovacího okna odmítnuty.

Při zkoumání tohoto chování používejte vyhrazený testovací účet. Zachovejte stejný požadavek, zdroj klienta i cíl a nevkládejte skutečná hesla do sdíleného výstupu příkazů.

Odebrání přístupu plánujte, nespoléhejte jen na úpravu souboru

Kratší platnost ověření zvyšuje práci backendu. Než ji zkrátíte v zatížené službě, zvažte kapacitu pomocných procesů a ověřte chování se skutečným backendem. Nepředpokládejte, že opětovné načtení konfigurace vymaže všechny související autentizační stavy, pokud to není pro vaši verzi a sestavu doloženo.

Pro naléhavé odebrání přístupu může explicitní zákaz účtu nebo zdroje vytvořit samostatnou hranici. Otestujte tento zákaz z dotčené trasy, místo abyste spoléhali jen na odstranění ze souboru hesel.

Toto nastavení popisuje mezipaměť ověření Basic. Autentizační schémata orientovaná na spojení mají další stav a neměla by přebírat stejný model odebrání přístupu pouhou analogií.