Squid a duplicitné používateľské mená v adresároch LDAP
Navrhnite voľbu adresára a medzipamäť overovania Squid spoločne, keď nezávislé adresáre LDAP obsahujú rovnaké krátke používateľské meno.
Ak dva nezávislé adresáre obsahujú oba alex, proxy potrebuje voľbu adresára skôr, než skontroluje heslo. Skúšanie najprv A a potom B skrýva túto voľbu v zlyhaní overovania a môže zameniť nedostupný adresár s odmietnutým tajomstvom.
Dve usporiadania môžu identitu zviditeľniť:
- Kvalifikované prihlásenie. Meno ako
[email protected]vyberá cez dispečer pevný adresár určený správcom. Zachovajte kvalifikovanú identitu na autorizáciu a protokolovanie. Nepremieňajte príponu dodanú klientom na ľubovoľnú adresu servera LDAP. - Stabilný dôveryhodný kontext požiadavky. Adresár vyberá poslucháč alebo iný podporovaný kontext. Definujte, čo sa stane, keď sa človek presunie alebo použije iný poslucháč; sieťová poloha nie je osobná identita.
Repliky jedného adresára sú iné: zdieľajú jeden menný priestor identít. Nesúvisiace adresáre sa nestávajú replikami preto, že oba používajú LDAP.
Zlaďte kľúč medzipamäte prihlasovacích údajov Squid s voľbou pomocníka. Odkaz auth_param opisuje key_extras na odovzdávanie dodatočného kontextu a jeho zahrnutie do kľúča medzipamäte, vrátane prípadu zhodných mien rozlíšených počúvacím portom. Pomocník musí rozumieť rozšírenému vstupu a zvolené makro musí byť v tejto fáze overovania dostupné.
Uprednostnite stabilný kontext. Často sa meniaca IP adresa klienta môže znásobiť identity v medzipamäti a zmeniť ovládacie prvky, ktoré očakávajú jednu identitu používateľa.
Definujte oddelene neznámy adresár, neznámy účet, odmietnuté heslo a nedostupný adresár. Účet North sa nesmie potichu stať Alexom zo South, keď je North nedostupný. Udržujte tieto výsledky v protokoloch rozlíšiteľné bez zaznamenávania hesiel.