Squid und doppelte Benutzernamen über LDAP-Verzeichnisse hinweg
Entwerfen Sie Verzeichnisauswahl und Squid-Authentifizierungs-Cache gemeinsam, wenn unabhängige LDAP-Verzeichnisse denselben kurzen Benutzernamen enthalten.
Wenn zwei unabhängige Verzeichnisse beide alex enthalten, braucht der Proxy eine Verzeichnisauswahl, bevor er ein Passwort prüft. Erst A und dann B zu versuchen, versteckt diese Auswahl im Authentifizierungsfehler und kann ein nicht verfügbares Verzeichnis mit einem abgelehnten Geheimnis verwechseln.
Zwei Anordnungen können die Identität explizit machen:
- Qualifizierte Anmeldung. Ein Name wie
[email protected]wählt über einen Dispatcher ein festes, vom Administrator definiertes Verzeichnis. Behalten Sie die qualifizierte Identität für die Autorisierung und die Protokollierung bei. Machen Sie aus einem vom Client gelieferten Suffix keine beliebige LDAP-Serveradresse. - Stabiler vertrauenswürdiger Anforderungskontext. Ein Listener oder ein anderer unterstützter Kontext wählt das Verzeichnis. Legen Sie fest, was geschieht, wenn eine Person roamingt oder einen anderen Listener verwendet; der Netzwerkstandort ist keine persönliche Identität.
Replikate eines Verzeichnisses sind etwas anderes: Sie teilen einen Identitätsnamensraum. Unabhängige Verzeichnisse werden nicht dadurch zu Replikaten, dass beide LDAP verwenden.
Bringen Sie den Cache-Schlüssel für Anmeldedaten von Squid mit der Auswahl des Helfers in Einklang. Die auth_param-Referenz beschreibt key_extras, um zusätzlichen Kontext zu übergeben und in den Cache-Schlüssel aufzunehmen, einschließlich des Falls identischer Namen, die durch den Listening-Port unterschieden werden. Der Helfer muss die erweiterte Eingabe verstehen, und das gewählte Makro muss in dieser Authentifizierungsstufe verfügbar sein.
Bevorzugen Sie stabilen Kontext. Eine häufig wechselnde Client-IP kann Cache-Identitäten vervielfachen und Steuerungen verändern, die eine Benutzeridentität erwarten.
Definieren Sie unbekanntes Verzeichnis, unbekanntes Konto, abgelehntes Passwort und nicht verfügbares Verzeichnis getrennt. Das Konto von North darf nicht stillschweigend zu Souths Alex werden, wenn North nicht verfügbar ist. Halten Sie diese Ergebnisse in Protokollen unterscheidbar, ohne Passwörter aufzuzeichnen.