Squid og dublerede brugernavne på tværs af LDAP-kataloger

Hvis to uafhængige kataloger begge indeholder alex, har proxyen brug for et katalogvalg, før den kontrollerer en adgangskode. At prøve A og derefter B skjuler valget inde i godkendelsesfejlen og kan forveksle et utilgængeligt katalog med en afvist hemmelighed.

To ordninger kan gøre identiteten eksplicit:

• Kvalificeret login. Et navn som [email protected] vælger via en dispatcher et fast katalog, der er defineret af administratoren. Bevar den kvalificerede identitet til autorisation og logning. Gør ikke et klientleveret suffiks til en vilkårlig LDAP-serveradresse.
• Stabil betroet anmodningskontekst. En listener eller en anden understøttet kontekst vælger kataloget. Definer, hvad der sker, når en person flytter sig eller bruger en anden listener; netværksplacering er ikke personlig identitet.

Replicaer af ét katalog er anderledes: de deler et identitetsnavnerum. Urelaterede kataloger bliver ikke replicaer, fordi begge bruger LDAP.

Sørg for, at Squids cachenøgle for legitimationsoplysninger stemmer overens med hjælperens valg. auth_param-referencen beskriver key_extras til at sende ekstra kontekst og inkludere den i cachenøglen, herunder tilfældet med identiske navne adskilt af lytteporten. Hjælperen skal forstå det udvidede input, og den valgte makro skal være tilgængelig på det godkendelsestrin.

Foretræk stabil kontekst. En hyppigt skiftende klient-IP kan mangedoble cache-identiteter og ændre kontroller, der forventer én brugeridentitet.

Definer ukendt katalog, ukendt konto, afvist adgangskode og utilgængeligt katalog hver for sig. Norths konto må ikke stille blive Souths Alex, når North er utilgængelig. Hold de resultater adskilte i logfiler uden at registrere adgangskoder.