Zakaj Squidova avtentikacija Basic še vedno sprejme staro geslo

Sprememba Squidove datoteke gesel ne pomeni nujno, da bo vsaka naslednja zahteva znova poklicala pomožni program. Pri avtentikaciji Basic lahko Squid predpomni uspešno preverjen par uporabniškega imena in gesla.

Nastavitev Squida 6.13, ki določa, kako dolgo se to preverjanje šteje za veljavno, je credentialsttl. Na primer:

auth_param basic credentialsttl 5 minutes

To je primer vrednosti pravilnika, ne univerzalno priporočilo. Izberite jo glede na sprejemljivo zakasnitev preklica in obremenitev, ki jo zmore avtentikacijsko zaledje.

Ločite tri preverjanja

Najprej potrdite, da ste uredili datoteko, ki jo uporablja aktivni pomožni program. Pravilna sprememba neuporabljene datoteke nima učinka. Nato preverite, ali lahko pomožni program prebere datoteko in preveri nove podatke računa. Na koncu preizkusite novo zahtevo prek delujočega primerka proxyja, kjer veljajo tudi predpomnjenje poverilnic in pravila dostopa.

Pomožni program in delujoči proxy preizkusite ločeno. Pomožni program pokaže, kaj zaledje trenutno sprejema, medtem ko lahko Squid še uporablja predpomnjeno preverjanje. Ob menjavi preverite tako delovanje novih poverilnic kot zavrnitev starih po ustreznem časovnem oknu preverjanja.

Za raziskovanje tega vedenja uporabite poseben testni račun. Ohranite enako zahtevo, vir odjemalca in cilj ter ne vključujte pravih gesel v deljeni izpis ukazov.

Načrtujte preklic, ne zanašajte se le na urejanje datoteke

Krajša veljavnost preverjanja poveča delo zaledja. Pred skrajšanjem na obremenjeni storitvi upoštevajte zmogljivost pomožnih programov in preverite vedenje z dejanskim zaledjem. Ne domnevajte, da ponovno nalaganje nastavitev počisti vsa zadevna avtentikacijska stanja, če to ni potrjeno za vašo različico in postavitev.

Za nujno odstranitev dostopa lahko izrecna prepoved dostopa za račun ali vir zagotovi ločeno mejo. Preizkusite to prepoved s prizadete poti, namesto da bi se zanašali samo na odstranitev iz datoteke gesel.

Ta nastavitev opisuje predpomnjenje preverjanja Basic. V povezavo usmerjene avtentikacijske sheme imajo dodatno stanje in jim po analogiji ne gre pripisati enakega modela preklica.