Por que a autenticación Basic de Squid segue aceptando un contrasinal antigo

Cambiar o ficheiro de contrasinais de Squid non fai necesariamente que cada solicitude posterior volva chamar ao auxiliar. Para a autenticación Basic, Squid pode gardar na caché un par de nome de usuario e contrasinal validado correctamente.

O axuste de Squid 6.13 que controla canto tempo se considera válida esa comprobación é credentialsttl. Por exemplo:

auth_param basic credentialsttl 5 minutes

Este é un valor de política de exemplo, non unha recomendación universal. Elíxeo segundo o atraso de revogación que poidas aceptar e a carga que poida soportar o teu backend de autenticación.

Separa tres comprobacións

Primeiro confirma que editaches o ficheiro que utiliza o auxiliar activo. Un cambio correcto nun ficheiro sen uso non ten efecto. Despois comproba que o auxiliar pode ler o ficheiro e validar a nova información da conta. Por último, proba unha solicitude nova ao proxy a través da instancia en execución, onde tamén se aplican a caché de credenciais e as regras de acceso.

Proba por separado o auxiliar e o proxy en execución. O auxiliar mostra o que acepta actualmente o backend, mentres que Squid pode seguir reutilizando unha validación na caché. Durante a rotación, comproba tanto que a credencial nova funcione como que a antiga se rexeite tras o período de validación aplicable.

Usa unha conta de proba específica ao investigar este comportamento. Mantén constantes a solicitude, a orixe do cliente e o destino, e evita incluír contrasinais reais na saída compartida dos comandos.

Planifica a revogación en vez de depender dunha edición do ficheiro

Unha vixencia de validación menor aumenta o traballo do backend. Antes de reducila nun servizo con moita actividade, considera a capacidade dos auxiliares e verifica o comportamento co backend real. Non supoñas que recargar a configuración elimina todos os estados de autenticación relevantes, salvo que se demostrase para a túa versión e configuración.

Para retirar o acceso con urxencia, unha denegación explícita por conta ou orixe pode proporcionar un límite independente. Proba esa denegación desde a ruta afectada en vez de confiar unicamente na eliminación do ficheiro de contrasinais.

Este axuste describe a caché de validación Basic. Os esquemas de autenticación orientados a conexión teñen estado adicional e non deben recibir por analoxía o mesmo modelo de revogación.