Hvorfor Basic LDAP-autentisering i Squid fremdeles krever et passord

En Squid-konfigurasjon kan sjekke passord mot Active Directory og likevel vise et innloggingsvindu. Det trenger ikke bety at noe er i stykker. AD forteller hvor kontoen hører hjemme; det sier ingenting om hvordan nettleseren vil bevise hvem brukeren er.

I denne linjen er nøkkelordet basic:

auth_param basic realm Windows Logon

Ordene som følger realm gir navn til det beskyttede autentiseringsområdet. De ber ikke om noe Windows-tilgangstoken og endrer heller ikke utfordringen til Negotiate. En Basic LDAP-hjelper tar imot opplysningene som sendes inn, og sjekker dem mot katalogtjenesten.

En vanlig konfigurasjon rommer tre separate avgjørelser: hvordan Squid utfordrer klienten, hvordan en hjelper godkjenner svaret, og hvilke autentiserte brukere eller grupper en tilgangsregel slipper inn. Et vellykket gruppeoppslag i LDAP løser bare den siste avgjørelsen. Det kan ikke skaffe de opplysningene nettleseren mangler.

Dersom kravet er en stille innlogging

Velg en integrert autentiseringsmetode som nettleseren støtter, og sett opp forutsetningene på tjenersiden. For Negotiate basert på Kerberos innebærer det tjenesteidentiteten og nøkkelmaterialet, i tillegg til en klientpolicy som tillater autentisering mot den proxytjeneren. Å bytte ut bare hjelperens kjørbare fil i en Basic-konfigurasjon gjennomfører ikke en slik endring.

Ta stilling til hvilket resultat du er ute etter, før du erstatter et LDAP-oppsett som virker. Å godta det samme brukernavnet og passordet som brukes ved innlogging på en arbeidsstasjon, er et rimelig Basic-krav. Å gjenbruke den påloggede Windows-identiteten uten å spørre etter passordet er et annet krav, som krever annet arbeid med protokoll og utrulling.