Squid og dupliserte brukernavn på tvers av LDAP-kataloger
Design katalogvalg og Squids autentiseringshurtiglager sammen når uavhengige LDAP-kataloger inneholder det samme korte brukernavnet.
Hvis to uavhengige kataloger begge inneholder alex, trenger proxyen et katalogvalg før den kontrollerer et passord. Å prøve A og deretter B skjuler valget inne i autentiseringsfeilen og kan forveksle en utilgjengelig katalog med en avvist hemmelighet.
To ordninger kan gjøre identiteten eksplisitt:
- Kvalifisert pålogging. Et navn som
[email protected]velger via en utsender en fast katalog som administratoren har definert. Bevar den kvalifiserte identiteten for autorisasjon og logging. Ikke gjør et klientlevert suffiks om til en vilkårlig LDAP-serveradresse. - Stabil klarert forespørselskontekst. En lytter eller en annen støttet kontekst velger katalogen. Definer hva som skjer når en person flytter seg eller bruker en annen lytter; nettverksplassering er ikke personlig identitet.
Replikaer av én katalog er annerledes: de deler ett identitetsnavnerom. Urelaterte kataloger blir ikke replikaer fordi begge bruker LDAP.
Sørg for at Squids hurtiglagerøkkel for påloggingsinformasjon stemmer med hjelperens valg. auth_param-referansen beskriver key_extras for å sende ekstra kontekst og ta den med i hurtiglagerøkkelen, inkludert tilfellet med identiske navn som skilles av lytt-porten. Hjelperen må forstå den utvidede inndataen, og den valgte makroen må være tilgjengelig på det autentiseringstrinnet.
Foretrekk stabil kontekst. En ofte skiftende klient-IP kan mangedoble hurtiglageridentiteter og endre kontroller som forventer én brukeridentitet.
Definer ukjent katalog, ukjent konto, avvist passord og utilgjengelig katalog hver for seg. Kontoen til North må ikke stille bli Souths Alex når North er utilgjengelig. Hold disse resultatene atskilt i logger uten å registrere passord.