De ce autentificarea Basic din Squid încă acceptă o parolă veche

Modificarea fișierului de parole al Squid nu face neapărat ca fiecare cerere ulterioară să apeleze din nou programul auxiliar. Pentru autentificarea Basic, Squid poate memora în cache o pereche de nume de utilizator și parolă validată cu succes.

Setarea Squid 6.13 care controlează cât timp este considerată valabilă acea verificare este credentialsttl. De exemplu:

auth_param basic credentialsttl 5 minutes

Aceasta este o valoare exemplificativă de politică, nu o recomandare universală. Alegeți-o în funcție de întârzierea de revocare acceptabilă și de sarcina pe care o poate gestiona backendul de autentificare.

Separați trei verificări

Mai întâi confirmați că ați editat fișierul folosit de programul auxiliar activ. O modificare corectă într-un fișier nefolosit nu are efect. Apoi verificați că programul poate citi fișierul și valida noile date ale contului. În final, testați o cerere proxy nouă prin instanța în funcțiune, unde se aplică și cache-ul acreditărilor și regulile de acces.

Testați separat programul auxiliar și proxy-ul în funcțiune. Programul arată ce acceptă backendul în prezent, în timp ce Squid poate încă reutiliza o validare din cache. La rotație, verificați atât că noile acreditări funcționează, cât și că cele vechi sunt respinse după fereastra de validare aplicabilă.

Folosiți un cont de test dedicat când investigați acest comportament. Păstrați identice cererea, sursa clientului și ținta și evitați parolele reale în ieșirea de comenzi partajată.

Planificați revocarea în loc să vă bazați pe editarea unui fișier

O durată mai scurtă a validării crește munca backendului. Înainte de a o reduce pe un serviciu aglomerat, luați în calcul capacitatea programelor auxiliare și verificați comportamentul cu backendul real. Nu presupuneți că reîncărcarea configurației șterge toate stările relevante ale autentificării, dacă acest lucru nu a fost stabilit pentru versiunea și configurația dumneavoastră.

Pentru eliminarea urgentă a accesului, o interdicție explicită pentru cont sau sursă poate oferi o limită separată. Testați acea interdicție de pe ruta afectată, în loc să vă bazați numai pe eliminarea din fișierul de parole.

Această setare descrie cache-ul validării Basic. Schemele de autentificare orientate pe conexiune au stare suplimentară și nu trebuie să primească prin analogie același model de revocare.