Squid i duplicirana korisnička imena u LDAP imenicima
Projektirajte odabir imenika i Squidovu predmemoriju autentifikacije zajedno kada neovisni LDAP imenici sadrže isto kratko korisničko ime.
Ako dva neovisna imenika oba sadrže alex, proxy treba odabir imenika prije provjere lozinke. Pokušaj prvo A pa B skriva taj odabir unutar neuspjeha autentifikacije i može zamijeniti nedostupan imenik s odbijenom tajnom.
Dva rasporeda mogu učiniti identitet eksplicitnim:
- Kvalificirana prijava. Ime poput
[email protected]odabire preko dispečera fiksni imenik koji je odredio administrator. Sačuvajte kvalificirani identitet za autorizaciju i bilježenje. Ne pretvarajte sufiks koji dostavi klijent u proizvoljnu adresu LDAP poslužitelja. - Stabilan pouzdan kontekst zahtjeva. Imenik odabire slušatelj ili drugi podržani kontekst. Definirajte što se događa kada se osoba kreće ili koristi drugi slušatelj; mrežna lokacija nije osobni identitet.
Replike jednog imenika su drukčije: dijele prostor imena identiteta. Nepovezani imenici ne postaju replike zato što oba koriste LDAP.
Uskladite ključ Squidove predmemorije vjerodajnica s odabirom pomoćnika. Referenca auth_param opisuje key_extras za prijenos dodatnog konteksta i njegovo uključivanje u ključ predmemorije, uključujući slučaj istovjetnih imena razlučenih portom za slušanje. Pomoćnik mora razumjeti prošireni ulaz, a odabrani makro mora biti dostupan u toj fazi autentifikacije.
Preferirajte stabilan kontekst. Često promjenjiva IP adresa klijenta može umnožiti identitete u predmemoriji i promijeniti kontrole koje očekuju jedan korisnički identitet.
Odvojeno definirajte nepoznat imenik, nepoznat račun, odbijenu lozinku i nedostupan imenik. Račun North ne smije tiho postati Alex iz Southa kada North nije dostupan. Održite te ishode razlučivima u zapisima bez bilježenja lozinki.