Squid și numele de utilizator duplicate în directoarele LDAP

Dacă două directoare independente conțin amândouă alex, proxy-ul are nevoie de o selecție de director înainte de a verifica o parolă. Încercarea mai întâi a lui A și apoi a lui B ascunde această selecție în eșecul autentificării și poate confunda un director indisponibil cu un secret respins.

Două aranjamente pot face identitatea explicită:

• Autentificare calificată. Un nume precum [email protected] selectează printr-un dispecer un director fix definit de administrator. Păstrați identitatea calificată pentru autorizare și jurnalizare. Nu transformați un sufix furnizat de client într-o adresă arbitrară de server LDAP.
• Context de cerere fiabil și stabil. Un ascultător sau alt context acceptat selectează directorul. Definiți ce se întâmplă când o persoană se deplasează sau folosește alt ascultător; locația în rețea nu este identitate personală.

Replicile unui director sunt diferite: împart un spațiu de nume de identitate. Directoarele neînrudite nu devin replici pentru că ambele folosesc LDAP.

Aliniați cheia cache-ului de acreditări al Squid cu selecția helperului. Referința auth_param descrie key_extras pentru transmiterea unui context suplimentar și includerea lui în cheia cache, inclusiv cazul numelor identice distinse prin portul de ascultare. Helperul trebuie să înțeleagă intrarea extinsă, iar macrocomanda aleasă trebuie să fie disponibilă la acea etapă de autentificare.

Preferați contextul stabil. Un IP de client care se schimbă frecvent poate multiplica identitățile din cache și poate modifica controalele care așteaptă o singură identitate de utilizator.

Definiți separat director necunoscut, cont necunoscut, parolă respinsă și director indisponibil. Contul lui North nu trebuie să devină în tăcere Alex al lui South când North este indisponibil. Păstrați aceste rezultate distinguibile în jurnale fără a înregistra parole.