Squid e i nomi utente duplicati tra le directory LDAP

Se due directory indipendenti contengono entrambe alex, il proxy deve scegliere una directory prima di verificare una password. Provare prima A e poi B nasconde questa scelta dentro l'errore di autenticazione e può confondere una directory non disponibile con un segreto rifiutato.

Due disposizioni possono rendere esplicita l'identità:

• Accesso qualificato. Un nome come [email protected] seleziona tramite un dispatcher una directory fissa definita dall'amministratore. Conservate l'identità qualificata per l'autorizzazione e la registrazione. Non trasformate un suffisso fornito dal client in un indirizzo arbitrario di server LDAP.
• Contesto di richiesta affidabile e stabile. Un listener o un altro contesto supportato seleziona la directory. Definite cosa accade quando una persona si sposta o usa un altro listener; la posizione di rete non è identità personale.

Le repliche di una directory sono diverse: condividono uno spazio dei nomi di identità. Directory non correlate non diventano repliche perché entrambe usano LDAP.

Allineate la chiave della cache delle credenziali di Squid alla selezione dell'helper. Il riferimento auth_param descrive key_extras per passare contesto aggiuntivo e includerlo nella chiave della cache, compreso il caso di nomi identici distinti dalla porta di ascolto. L'helper deve comprendere l'input esteso e la macro scelta deve essere disponibile in quella fase di autenticazione.

Preferite un contesto stabile. Un IP client che cambia spesso può moltiplicare le identità in cache e modificare controlli che si aspettano una sola identità utente.

Definite separatamente directory sconosciuta, account sconosciuto, password rifiutata e directory non disponibile. L'account di North non deve diventare silenziosamente l'Alex di South quando North non è disponibile. Mantenete questi esiti distinguibili nei log senza registrare password.