Squid e os nomes de usuario duplicados nos directorios LDAP

Se dous directorios independentes conteñen ambos alex, o proxy necesita elixir un directorio antes de comprobar un contrasinal. Probar primeiro A e logo B agocha esa elección dentro do fallo de autenticación e pode confundir un directorio non dispoñible cun segredo rexeitado.

Dúas disposicións poden facer explícita a identidade:

• Inicio de sesión cualificado. Un nome como [email protected] selecciona mediante un despachador un directorio fixo definido polo administrador. Conserve a identidade cualificada para a autorización e o rexistro. Non converta un sufixo proporcionado polo cliente nun enderezo arbitrario de servidor LDAP.
• Contexto de solicitude fiable e estable. Un oínte ou outro contexto admitido selecciona o directorio. Defina que ocorre cando unha persoa se despraza ou usa outro oínte; a localización de rede non é identidade persoal.

As réplicas dun directorio son diferentes: comparten un espazo de nomes de identidade. Os directorios non relacionados non se converten en réplicas porque ambos usen LDAP.

Faga que a clave da caché de credenciais de Squid coincida coa selección do asistente. A referencia auth_param describe key_extras para pasar contexto adicional e incluílo na clave de caché, incluído o caso de nomes idénticos distinguidos polo porto de escoita. O asistente debe comprender a entrada ampliada e a macro elixida debe estar dispoñible nesa etapa de autenticación.

Preferide contexto estable. Un IP de cliente que cambia con frecuencia pode multiplicar as identidades de caché e alterar controis que esperan unha soa identidade de usuario.

Defina por separado directorio descoñecido, conta descoñecida, contrasinal rexeitado e directorio non dispoñible. A conta de North non debe converterse en silencio no Alex de South cando North non estea dispoñible. Manteña eses resultados distinguibles nos rexistros sen rexistrar contrasinais.