Squid ja korduvad kasutajanimed LDAP-kataloogides
Projekteerige kataloogivalik ja Squidi autentimispuhver koos, kui sõltumatud LDAP-kataloogid sisaldavad sama lühikest kasutajanime.
Kui kaks sõltumatut kataloogi sisaldavad mõlemad alex, vajab puhverserver kataloogivalikut enne parooli kontrollimist. Esmalt A ja seejärel B proovimine peidab selle valiku autentimistõrke sisse ning võib segamini ajada kättesaamatu kataloogi tagasilükatud saladusega.
Kaks korraldust võivad identiteedi selgeks teha:
- Kvalifitseeritud sisselogimine. Nimi nagu
[email protected]valib saatja kaudu administraatori määratud fikseeritud kataloogi. Säilitage kvalifitseeritud identiteet autoriseerimiseks ja logimiseks. Ärge muutke kliendi esitatud sufiksit suvaliseks LDAP-serveri aadressiks. - Stabiilne usaldusväärne päringukontekst. Kataloogi valib kuulaja või muu toetatud kontekst. Määratlege, mis juhtub, kui inimene liigub või kasutab teist kuulajat; võrgukoht ei ole isiklik identiteet.
Ühe kataloogi koopiad on erinevad: nad jagavad identiteedi nimeruumi. Sõltumatud kataloogid ei muutu koopiateks sellepärast, et mõlemad kasutavad LDAP-i.
Viige Squidi mandaadipuhvri võti vastavusse abilise valikuga. Viide auth_param kirjeldab key_extras, et edastada lisakonteksti ja kaasata see puhvri võtmesse, sealhulgas juhtum, kus identsed nimed eristuvad kuulamisporti järgi. Abiline peab laiendatud sisendist aru saama ja valitud makro peab olema selles autentimisetapis saadaval.
Eelistage stabiilset konteksti. Sageli muutuv kliendi IP võib puhvri identiteete mitmekordistada ja muuta juhtelemente, mis eeldavad üht kasutajaidentiteeti.
Määratlege eraldi tundmatu kataloog, tundmatu konto, tagasilükatud parool ja kättesaamatu kataloog. Northi konto ei tohi vaikselt saada Southi Alexiks, kui North pole kättesaadav. Hoidke need tulemused logides eristatavad ilma paroole salvestamata.