Squid e nomes de usuário duplicados entre diretórios LDAP

Se dois diretórios independentes contiverem ambos alex, o proxy precisa escolher um diretório antes de verificar uma senha. Tentar A e depois B esconde essa escolha dentro da falha de autenticação e pode confundir um diretório indisponível com um segredo rejeitado.

Dois arranjos podem tornar a identidade explícita:

• Login qualificado. Um nome como [email protected] seleciona por meio de um despachante um diretório fixo definido pelo administrador. Preserve a identidade qualificada para autorização e registro. Não transforme um sufixo fornecido pelo cliente em endereço arbitrário de servidor LDAP.
• Contexto de solicitação confiável e estável. Um ouvinte ou outro contexto suportado seleciona o diretório. Defina o que acontece quando uma pessoa se desloca ou usa outro ouvinte; a localização de rede não é identidade pessoal.

As réplicas de um diretório são diferentes: compartilham um espaço de nomes de identidade. Diretórios não relacionados não se tornam réplicas porque ambos usam LDAP.

Faça a chave do cache de credenciais do Squid coincidir com a seleção do auxiliar. A referência auth_param descreve key_extras para passar contexto adicional e incluí-lo na chave de cache, inclusive o caso de nomes idênticos distinguidos pela porta de escuta. O auxiliar deve entender a entrada estendida, e a macro escolhida deve estar disponível nesse estágio de autenticação.

Prefira contexto estável. Um IP de cliente que muda com frequência pode multiplicar as identidades do cache e alterar controles que esperam uma única identidade de usuário.

Defina separadamente diretório desconhecido, conta desconhecida, senha rejeitada e diretório indisponível. A conta de North não deve se tornar silenciosamente o Alex de South quando North estiver indisponível. Mantenha esses resultados distinguíveis nos registros sem gravar senhas.