Το Squid και τα διπλά ονόματα χρηστών σε καταλόγους LDAP
Σχεδιάστε μαζί την επιλογή καταλόγου και την προσωρινή μνήμη πιστοποίησης του Squid όταν ανεξάρτητοι κατάλογοι LDAP περιέχουν το ίδιο σύντομο όνομα χρήστη.
Αν δύο ανεξάρτητοι κατάλογοι περιέχουν και οι δύο alex, ο μεσολαβητής χρειάζεται επιλογή καταλόγου πριν ελέγξει κωδικό πρόσβασης. Η δοκιμή πρώτα του A και μετά του B κρύβει αυτή την επιλογή μέσα στην αποτυχία πιστοποίησης και μπορεί να συγχέει έναν μη διαθέσιμο κατάλογο με ένα απόρρητο που απορρίφθηκε.
Δύο ρυθμίσεις μπορούν να κάνουν την ταυτότητα ρητή:
- Πιστοποιημένη σύνδεση. Ένα όνομα όπως το
[email protected]επιλέγει μέσω αποστολέα έναν σταθερό κατάλογο που ορίζει ο διαχειριστής. Διατηρήστε την πιστοποιημένη ταυτότητα για εξουσιοδότηση και καταγραφή. Μην μετατρέπετε ένα επίθημα που παρέχει ο πελάτης σε αυθαίρετη διεύθυνση διακομιστή LDAP. - Σταθερό αξιόπιστο πλαίσιο αιτήματος. Ένας ακροατής ή άλλο υποστηριζόμενο πλαίσιο επιλέγει τον κατάλογο. Καθορίστε τι συμβαίνει όταν ένα άτομο περιφέρεται ή χρησιμοποιεί άλλον ακροατή· η θέση δικτύου δεν είναι προσωπική ταυτότητα.
Τα αντίγραφα ενός καταλόγου είναι διαφορετικά: μοιράζονται έναν χώρο ονομάτων ταυτότητας. Μη σχετιζόμενοι κατάλογοι δεν γίνονται αντίγραφα επειδή και οι δύο χρησιμοποιούν LDAP.
Κάντε το κλειδί της προσωρινής μνήμης διαπιστευτηρίων του Squid να συμφωνεί με την επιλογή του βοηθού. Η αναφορά auth_param περιγράφει το key_extras για τη μεταβίβαση πρόσθετου πλαισίου και την ένταξή του στο κλειδί της προσωρινής μνήμης, συμπεριλαμβανομένης της περίπτωσης πανομοιότυπων ονομάτων που διακρίνονται από τη θύρα ακρόασης. Ο βοηθός πρέπει να κατανοεί την εκτεταμένη είσοδο και η επιλεγμένη μακροεντολή πρέπει να είναι διαθέσιμη σε εκείνο το στάδιο πιστοποίησης.
Προτιμήστε σταθερό πλαίσιο. Μια IP πελάτη που αλλάζει συχνά μπορεί να πολλαπλασιάσει τις ταυτότητες της προσωρινής μνήμης και να αλλάξει ελέγχους που περιμένουν μία ταυτότητα χρήστη.
Ορίστε χωριστά άγνωστο κατάλογο, άγνωστο λογαριασμό, κωδικό που απορρίφθηκε και μη διαθέσιμο κατάλογο. Ο λογαριασμός του North δεν πρέπει να γίνει σιωπηλά ο Alex του South όταν το North δεν είναι διαθέσιμο. Κρατήστε αυτά τα αποτελέσματα διακριτά στα αρχεία καταγραφής χωρίς να καταγράφετε κωδικούς πρόσβασης.