Prečo Basic autentifikácia Squidu stále prijíma staré heslo

Zmena súboru hesiel Squidu nemusí spôsobiť, že každá ďalšia požiadavka znovu zavolá pomocný program. Pri Basic autentifikácii môže Squid uchovať úspešne overenú dvojicu používateľského mena a hesla vo vyrovnávacej pamäti.

Nastavenie Squidu 6.13 určujúce, ako dlho sa toto overenie považuje za platné, je credentialsttl. Napríklad:

auth_param basic credentialsttl 5 minutes

Ide o príklad hodnoty politiky, nie univerzálne odporúčanie. Zvoľte ju podľa prijateľného oneskorenia odobratia prístupu a záťaže, ktorú zvládne autentifikačný backend.

Oddeľte tri kontroly

Najprv potvrďte, že ste upravili súbor používaný aktívnym pomocným programom. Správna zmena nepoužívaného súboru nemá účinok. Potom skontrolujte, či pomocný program môže súbor čítať a overiť nové údaje účtu. Nakoniec otestujte novú požiadavku cez bežiacu inštanciu proxy, kde platia aj vyrovnávacia pamäť údajov a pravidlá prístupu.

Pomocný program a bežiace proxy testujte oddelene. Pomocný program ukazuje, čo backend prijíma teraz, kým Squid môže stále používať uložené overenie. Pri výmene údajov skontrolujte fungovanie nových aj odmietnutie starých po príslušnom časovom okne overenia.

Na skúmanie tohto správania použite vyhradený testovací účet. Zachovajte rovnakú požiadavku, zdroj klienta a cieľ a nevkladajte skutočné heslá do zdieľaného výstupu príkazov.

Odobratie prístupu plánujte, nespoliehajte sa na úpravu súboru

Kratšia platnosť overenia zvyšuje prácu backendu. Pred jej skrátením vo vyťaženej službe zvážte kapacitu pomocných programov a overte správanie so skutočným backendom. Nepredpokladajte, že opätovné načítanie konfigurácie vymaže každý príslušný autentifikačný stav, ak to nie je overené pre vašu verziu a zostavu.

Pri naliehavom odobratí prístupu môže výslovný zákaz pre účet alebo zdroj poskytnúť samostatnú hranicu. Otestujte tento zákaz z dotknutej trasy namiesto spoliehania sa len na odstránenie zo súboru hesiel.

Toto nastavenie opisuje vyrovnávaciu pamäť overenia Basic. Autentifikačné schémy orientované na spojenie majú ďalší stav a nemali by dostať rovnaký model odobratia prístupu iba na základe analógie.