Hvorfor Squids Basic-godkendelse stadig accepterer en gammel adgangskode

En ændring af Squids adgangskodefil får ikke nødvendigvis alle efterfølgende anmodninger til at kalde hjælpeprogrammet igen. Med Basic-godkendelse kan Squid cache et brugernavn-og-adgangskodepar, som er blevet valideret.

Indstillingen i Squid 6.13, der styrer, hvor længe denne validering regnes for gyldig, er credentialsttl. For eksempel:

auth_param basic credentialsttl 5 minutes

Dette er en eksempelværdi for en politik, ikke en universel anbefaling. Vælg den efter den tilbagekaldelsesforsinkelse, du kan acceptere, og den belastning, din godkendelsesbackend kan håndtere.

Adskil tre kontroller

Bekræft først, at du har redigeret den fil, det aktive hjælpeprogram bruger. En korrekt ændring af en ubrugt fil har ingen effekt. Kontroller derefter, at hjælpeprogrammet kan læse filen og validere de nye kontooplysninger. Test til sidst en ny proxyanmodning gennem den kørende instans, hvor caching af loginoplysninger og adgangsregler også gælder.

Test hjælpeprogrammet og den kørende proxy hver for sig. Hjælpeprogrammet viser, hvad backenden aktuelt accepterer, mens Squid stadig kan genbruge en cachet validering. Kontroller ved rotation både, at de nye oplysninger virker, og at de gamle bliver afvist efter det relevante valideringsvindue.

Brug en særskilt testkonto, når du undersøger denne adfærd. Hold anmodning, klientkilde og mål ens, og undgå rigtige adgangskoder i delt kommandooutput.

Planlæg tilbagekaldelse i stedet for at stole på en filændring

En kortere valideringslevetid øger backendens arbejde. Overvej hjælpeprogrammernes kapacitet og verificer adfærden med den faktiske backend, før du forkorter den på en travl tjeneste. Antag ikke, at genindlæsning af konfigurationen rydder al relevant godkendelsestilstand, medmindre det er fastslået for din version og opsætning.

Ved akut fjernelse af adgang kan en udtrykkelig adgangsafvisning for en konto eller kilde give en separat grænse. Test denne afvisning fra den berørte rute i stedet for alene at stole på fjernelse fra adgangskodefilen.

Denne indstilling beskriver caching af Basic-validering. Forbindelsesorienterede godkendelsesskemaer har yderligere tilstand og bør ikke få samme tilbagekaldelsesmodel tildelt ud fra en analogi.