Squid ja päällekkäiset käyttäjänimet LDAP-hakemistoissa
Suunnittele hakemistovalinta ja Squidin todennuksen välimuisti yhdessä, kun riippumattomat LDAP-hakemistot sisältävät saman lyhyen käyttäjänimen.
Jos kaksi riippumatonta hakemistoa sisältävät molemmat alex, välityspalvelin tarvitsee hakemistovalinnan ennen salasanan tarkistamista. Ensin A:n ja sitten B:n kokeileminen kätkee valinnan todennuksen epäonnistumiseen ja voi sekoittaa tavoittamattoman hakemiston hylättyyn salaisuuteen.
Kaksi järjestelyä voi tehdä identiteetistä eksplisiittisen:
- Kvalifioitu kirjautuminen. Nimi kuten
[email protected]valitsee lähettimen kautta kiinteän, ylläpitäjän määrittämän hakemiston. Säilytä kvalifioitu identiteetti valtuutusta ja lokitusta varten. Älä muuta asiakkaan toimittamaa jälkiliitettä mielivaltaiseksi LDAP-palvelimen osoitteeksi. - Vakaa luotettu pyyntökonteksti. Kuuntelija tai muu tuettu konteksti valitsee hakemiston. Määrittele, mitä tapahtuu, kun henkilö liikkuu tai käyttää toista kuuntelijaa; verkkosijainti ei ole henkilöllinen identiteetti.
Yhden hakemiston replikat ovat erilaisia: ne jakavat identiteetin nimiavaruuden. Toisiinsa liittymättömät hakemistot eivät muutu replikoiksi siksi, että molemmat käyttävät LDAP:ta.
Sovita Squidin tunnistetietojen välimuistiavain apurin valintaan. auth_param-viite kuvaa key_extras-asetusta lisäkontekstin välittämiseen ja sen sisällyttämiseen välimuistiavaimeen, mukaan lukien tapaus, jossa samanlaiset nimet erotetaan kuunteluportin perusteella. Apurin on ymmärrettävä laajennettu syöte, ja valitun makron on oltava saatavilla siinä todennusvaiheessa.
Suosi vakaata kontekstia. Usein vaihtuva asiakkaan IP voi moninkertaistaa välimuisti-identiteetit ja muuttaa kontrolleja, jotka odottavat yhtä käyttäjäidentiteettiä.
Määrittele erikseen tuntematon hakemisto, tuntematon tili, hylätty salasana ja tavoittamaton hakemisto. Northin tili ei saa hiljaa muuttua Southin Alexiksi, kun North ei ole saatavilla. Pidä nämä tulokset lokissa erotettavina tallentamatta salasanoja.