Por que a autenticação Basic do Squid ainda aceita uma senha antiga

Alterar o arquivo de senhas do Squid não faz necessariamente cada solicitação posterior chamar o helper novamente. Na autenticação Basic, o Squid pode armazenar em cache um par de nome de usuário e senha validado com sucesso.

A configuração do Squid 6.13 que controla por quanto tempo essa verificação é considerada válida é credentialsttl. Por exemplo:

auth_param basic credentialsttl 5 minutes

Este é um valor de política de exemplo, não uma recomendação universal. Escolha-o conforme o atraso de revogação aceitável e a carga que seu backend de autenticação consegue suportar.

Separe três verificações

Primeiro confirme que você editou o arquivo usado pelo helper ativo. Uma alteração correta em um arquivo não utilizado não tem efeito. Depois verifique se o helper consegue ler o arquivo e validar as novas informações da conta. Por fim, teste uma nova solicitação de proxy pela instância em execução, onde o cache de credenciais e as regras de acesso também se aplicam.

Teste o helper e o proxy em execução separadamente. O helper mostra o que o backend aceita no momento, enquanto o Squid ainda pode reutilizar uma validação em cache. Durante a rotação, verifique tanto se a nova credencial funciona quanto se a antiga é rejeitada após a janela de validação aplicável.

Use uma conta de teste dedicada ao investigar esse comportamento. Mantenha a solicitação, a origem do cliente e o destino iguais e evite senhas reais na saída de comandos compartilhada.

Planeje a revogação em vez de depender de uma edição de arquivo

Uma validade menor da validação aumenta o trabalho do backend. Antes de reduzi-la em um serviço movimentado, considere a capacidade dos helpers e verifique o comportamento com o backend real. Não presuma que recarregar a configuração elimina todo estado de autenticação relevante, a menos que isso tenha sido estabelecido para sua versão e configuração.

Para remover o acesso com urgência, uma negação explícita de acesso por conta ou origem pode fornecer um limite separado. Teste essa negação a partir da rota afetada em vez de depender apenas da remoção do arquivo de senhas.

Esta configuração descreve o cache de validação Basic. Esquemas de autenticação orientados à conexão têm estado adicional e não devem receber o mesmo modelo de revogação por analogia.