Dlaczego uwierzytelnianie Basic w Squidzie nadal akceptuje stare hasło

Zmiana pliku haseł Squida nie musi powodować ponownego wywołania programu pomocniczego przy każdym kolejnym żądaniu. W uwierzytelnianiu Basic Squid może buforować poprawnie zweryfikowaną parę nazwy użytkownika i hasła.

Ustawieniem Squida 6.13 określającym, jak długo to sprawdzenie uznaje się za ważne, jest credentialsttl. Na przykład:

auth_param basic credentialsttl 5 minutes

To przykładowa wartość zasad, a nie uniwersalne zalecenie. Dobierz ją do akceptowalnego opóźnienia unieważnienia dostępu i obciążenia, które może obsłużyć zaplecze uwierzytelniania.

Rozdziel trzy kontrole

Najpierw potwierdź, że edytowano plik używany przez aktywny program pomocniczy. Poprawna zmiana w nieużywanym pliku nie ma skutku. Następnie sprawdź, czy program może odczytać plik i zweryfikować nowe dane konta. Na koniec przetestuj nowe żądanie przez działającą instancję proxy, gdzie obowiązują też buforowanie danych i reguły dostępu.

Testuj program pomocniczy i działające proxy osobno. Program pokazuje, co zaplecze akceptuje obecnie, natomiast Squid może nadal używać sprawdzenia z pamięci podręcznej. Przy zmianie danych sprawdź zarówno działanie nowych, jak i odrzucenie starych po upływie właściwego okna ważności sprawdzenia.

Do badania tego zachowania używaj osobnego konta testowego. Zachowaj to samo żądanie, źródło klienta i cel oraz unikaj prawdziwych haseł w udostępnianych wynikach poleceń.

Planuj odebranie dostępu zamiast polegać na edycji pliku

Krótsza ważność sprawdzenia zwiększa pracę zaplecza. Zanim skrócisz ją w obciążonej usłudze, uwzględnij wydajność programów pomocniczych i zweryfikuj zachowanie z rzeczywistym zapleczem. Nie zakładaj, że przeładowanie konfiguracji usuwa każdy istotny stan uwierzytelniania, jeśli nie ustalono tego dla danej wersji i konfiguracji.

Do pilnego odebrania dostępu osobną granicę może zapewnić jawny zakaz dostępu dla konta lub źródła. Przetestuj ten zakaz z trasy, której dotyczy, zamiast polegać wyłącznie na usunięciu z pliku haseł.

To ustawienie opisuje buforowanie weryfikacji Basic. Schematy uwierzytelniania zorientowane na połączenie mają dodatkowy stan i nie należy przypisywać im tego samego modelu odebrania dostępu przez analogię.