Γιατί ο έλεγχος ταυτότητας Basic του Squid δέχεται ακόμη έναν παλιό κωδικό

Η αλλαγή του αρχείου κωδικών του Squid δεν αναγκάζει απαραίτητα κάθε επόμενο αίτημα να καλέσει ξανά το βοηθητικό πρόγραμμα. Για τον έλεγχο ταυτότητας Basic, το Squid μπορεί να αποθηκεύσει προσωρινά ένα ζεύγος ονόματος χρήστη και κωδικού που επαληθεύτηκε επιτυχώς.

Η ρύθμιση του Squid 6.13 που ελέγχει για πόσο θεωρείται έγκυρη αυτή η επαλήθευση είναι η credentialsttl. Για παράδειγμα:

auth_param basic credentialsttl 5 minutes

Αυτή είναι μια ενδεικτική τιμή πολιτικής, όχι καθολική σύσταση. Επιλέξτε τη βάσει της αποδεκτής καθυστέρησης ανάκλησης και του φόρτου που αντέχει το σύστημα ελέγχου ταυτότητας.

Διαχωρίστε τρεις ελέγχους

Πρώτα επιβεβαιώστε ότι αλλάξατε το αρχείο που χρησιμοποιεί το ενεργό βοηθητικό πρόγραμμα. Μια σωστή αλλαγή σε αρχείο που δεν χρησιμοποιείται δεν έχει αποτέλεσμα. Έπειτα ελέγξτε ότι το βοηθητικό πρόγραμμα μπορεί να διαβάσει το αρχείο και να επαληθεύσει τα νέα στοιχεία λογαριασμού. Τέλος, δοκιμάστε ένα νέο αίτημα proxy μέσω του εκτελούμενου στιγμιοτύπου, όπου ισχύουν επίσης η προσωρινή αποθήκευση διαπιστευτηρίων και οι κανόνες πρόσβασης.

Δοκιμάστε χωριστά το βοηθητικό πρόγραμμα και τον proxy που εκτελείται. Το βοηθητικό πρόγραμμα δείχνει τι δέχεται τώρα το σύστημα ελέγχου ταυτότητας, ενώ το Squid μπορεί ακόμη να επαναχρησιμοποιεί αποθηκευμένη επαλήθευση. Κατά την αλλαγή διαπιστευτηρίων, ελέγξτε τόσο ότι τα νέα λειτουργούν όσο και ότι τα παλιά απορρίπτονται μετά το αντίστοιχο χρονικό παράθυρο επαλήθευσης.

Χρησιμοποιήστε ειδικό δοκιμαστικό λογαριασμό όταν εξετάζετε αυτή τη συμπεριφορά. Κρατήστε ίδια το αίτημα, την πηγή του πελάτη και τον στόχο και αποφύγετε πραγματικούς κωδικούς σε κοινόχρηστη έξοδο εντολών.

Σχεδιάστε την ανάκληση αντί να βασίζεστε στην αλλαγή ενός αρχείου

Μικρότερη διάρκεια ισχύος της επαλήθευσης αυξάνει την εργασία του συστήματος υποστήριξης. Πριν τη μειώσετε σε μια πολυάσχολη υπηρεσία, εξετάστε τη δυναμικότητα των βοηθητικών προγραμμάτων και επαληθεύστε τη συμπεριφορά με το πραγματικό σύστημα. Μην υποθέτετε ότι η επαναφόρτωση της διαμόρφωσης διαγράφει κάθε σχετική κατάσταση ελέγχου ταυτότητας, εκτός αν έχει διαπιστωθεί για τη δική σας έκδοση και εγκατάσταση.

Για επείγουσα αφαίρεση πρόσβασης, μια ρητή απαγόρευση ανά λογαριασμό ή πηγή μπορεί να προσφέρει ξεχωριστό όριο. Δοκιμάστε αυτή την απαγόρευση από την επηρεαζόμενη διαδρομή, αντί να βασίζεστε μόνο στη διαγραφή από το αρχείο κωδικών.

Αυτή η ρύθμιση περιγράφει την προσωρινή αποθήκευση επαλήθευσης Basic. Τα σχήματα ελέγχου ταυτότητας που βασίζονται στη σύνδεση έχουν πρόσθετη κατάσταση και δεν πρέπει να αποκτούν το ίδιο μοντέλο ανάκλησης μέσω απλής αναλογίας.