Waarom Squid Basic LDAP-authenticatie nog steeds om een wachtwoord vraagt

Een Squid-configuratie kan wachtwoorden tegen Active Directory controleren en toch een inlogvenster tonen. Dat betekent niet per se dat er iets stuk is. AD beschrijft waar het account staat; het zegt niet hoe de browser gaat bewijzen wie de gebruiker is.

In deze regel is het belangrijkste woord basic:

auth_param basic realm Windows Logon

De woorden na realm benoemen de beschermde authenticatieruimte. Ze vragen geen Windows-toegangstoken aan en schakelen de uitdaging niet om naar Negotiate. Een Basic LDAP-helper ontvangt de aangeleverde inloggegevens en controleert ze tegen de directory.

In een typische configuratie zijn er drie afzonderlijke beslissingen: hoe Squid de client uitdaagt, hoe een helper dat antwoord valideert en welke geauthenticeerde gebruikers of groepen een toegangsregel toestaat. Een geslaagde LDAP-groepsopzoeking raakt alleen de laatste beslissing. Die kan de ontbrekende inloggegevens van de browser niet leveren.

Als de eis een stille aanmelding is

Kies een door de browser ondersteund geïntegreerd authenticatieschema en configureer de vereisten aan de serverkant. Voor Negotiate op basis van Kerberos omvat dat de service-identiteit en het sleutelmateriaal, plus clientbeleid dat authenticatie naar die proxy toestaat. Alleen het uitvoerbare bestand van de helper vervangen onder een Basic-configuratie voert die conversie niet uit.

Bepaal welk resultaat je nodig hebt voordat je een werkende LDAP-opzet vervangt. Dezelfde gebruikersnaam en hetzelfde wachtwoord accepteren als bij een aanmelding op een werkstation is een redelijke Basic-eis. De al aangemelde Windows-identiteit hergebruiken zonder naar dat wachtwoord te vragen is een andere eis, met ander protocol- en uitrolwerk.