אבחון כניסה לפרוקסי NTLM באמצעות curl

אימות מול פרוקסי NTLM כולל לחיצת יד, ולא רק צירוף חד־פעמי של שם משתמש. לפני שינוי סיסמת החשבון, ודאו שהפרוקסי אכן מציע NTLM ושקובץ ההפעלה של curl תומך בו.

curl --version

בדקו את רשימת היכולות של קובץ ההפעלה שמבצע את הבקשה. התקנת curl אחרת, תמונת קונטיינר או בניית מערכת הפעלה עשויות לתמוך באימות שונה.

בחרו שיטת אימות ייעודית לפרוקסי

curl --proxy http://proxy.example:3128 --proxy-ntlm --proxy-user 'EXAMPLE\alice' --noproxy '' --connect-timeout 5 --max-time 20 https://example.com/

נקודת הקצה, הדומיין ושם המשתמש הם דוגמאות. השתמשו בתבנית שסיפק מנהל המערכת. בלי סיסמה בארגומנט, curl יכול לבקש אותה במקום להשאיר את הסוד בפקודה המוצגת.

אתגר האימות הראשוני עשוי להיות חלק מהמשא ומתן. הבדילו בינו לבין דחייה אחרי לחיצת יד שהושלמה. אל תשתמשו באפשרות NTLM לשרת המקור כדי להשיב לאתגר של הפרוקסי.

כללו את התנהגות החיבור באבחון

ל-NTLM יש מצב שקשור לחיבור. לחיצת היד צריכה לעבור בנתיב החיבור הצפוי; החלפה חוזרת של חיבורים בין שלביה עלולה למנוע את השלמתה.

ביישום שמשתמש ב-libcurl, הניחו לספרייה לנהל אימות ושימוש חוזר בחיבורים. אל תבנו מאגר כללי שמתייחס לחיבורים שאומתו עבור זהויות שונות כניתנים להחלפה. בשירות עם כמה תחנות מעבר או תיווך, בדקו אם הוא שומר על סידור החיבורים הנדרש.

אם התמיכה ובחירת השיטה תקינות, בדקו את תבנית החשבון, מדיניות הדומיין ויומני האימות של השרת לאחר הסרת מידע רגיש. פקיעת זמן ההמתנה לפני כל אתגר היא עדיין בעיית נגישות, ולא ראיה שסיסמת NTLM הייתה שגויה.

עקבות מפורטים עשויים להכיל אסימוני אימות ושמות פנימיים. השתמשו בהם מקומית והסירו מידע רגיש לפני השיתוף; דיווח שגיאה ציבורי אינו דורש חילופי אסימונים גולמיים.