Squid y los nombres de usuario duplicados entre directorios LDAP

Si dos directorios independientes contienen ambos alex, el proxy necesita elegir un directorio antes de comprobar una contraseña. Probar primero A y luego B oculta esa elección dentro del fallo de autenticación y puede confundir un directorio no disponible con un secreto rechazado.

Dos disposiciones pueden hacer explícita la identidad:

• Inicio de sesión cualificado. Un nombre como [email protected] selecciona mediante un despachador un directorio fijo definido por el administrador. Conserve la identidad cualificada para la autorización y el registro. No convierta un sufijo proporcionado por el cliente en una dirección arbitraria de servidor LDAP.
• Contexto de solicitud fiable y estable. Un listener u otro contexto admitido selecciona el directorio. Defina qué ocurre cuando una persona se desplaza o usa otro listener; la ubicación de red no es identidad personal.

Las réplicas de un directorio son distintas: comparten un espacio de nombres de identidad. Los directorios no relacionados no se convierten en réplicas porque ambos usen LDAP.

Haga que la clave de la caché de credenciales de Squid concuerde con la selección del asistente. La referencia auth_param describe key_extras para pasar contexto adicional e incluirlo en la clave de caché, incluido el caso de nombres idénticos distinguidos por el puerto de escucha. El asistente debe comprender la entrada ampliada y la macro elegida debe estar disponible en esa etapa de autenticación.

Prefiera un contexto estable. Una IP de cliente que cambia con frecuencia puede multiplicar las identidades de caché y alterar controles que esperan una sola identidad de usuario.

Defina por separado directorio desconocido, cuenta desconocida, contraseña rechazada y directorio no disponible. La cuenta de North no debe convertirse en silencio en el Alex de South cuando North no esté disponible. Mantenga esos resultados distinguibles en los registros sin registrar contraseñas.