De hostnaam van de proxy maakt deel uit van een Kerberos-aanmelding

Automatische domeinauthenticatie bij een HTTP-proxy kan Negotiate en Kerberos gebruiken. De client heeft een ticket nodig voor de proxyservice, niet alleen een onthouden websitewachtwoord.

Voor een proxy die als proxy.example.net wordt aangekondigd, kan een serviceprincipal deze vorm hebben:

HTTP/[email protected]

De hostnaam die de client gebruikt, de geregistreerde serviceprincipal en het keytab van de proxy moeten bij de uitrol passen. De Kerberos-configuratie van Squid documenteert de HTTP-serviceprincipal en het gebruik van dat sleutelmateriaal door de helper.

Het gebruik van een IP-adres of een andere alias kan de gewone servicenaamkeuze veranderen. Bepaal voordat u wachtwoorden van gebruikers wijzigt welke proxynaam de client werkelijk heeft gebruikt en welk authenticatiemechanisme is voltooid of mislukt.

Negotiate is een onderhandelingsmechanisme. Windows kan Kerberos kiezen of onder de geldende voorwaarden terugvallen op NTLM; het woord Negotiate zien bewijst niet dat de Kerberos-uitwisseling is geslaagd.

Houd automatisch gebruik van inloggegevens binnen het client- en domeinbeleid dat voor deze proxy bedoeld is. Een normale browsersessie en een service die onder een ander account draait, kunnen andere inloggegevens en autorisatieresultaten krijgen.