Squid и дуплирана корисничка имена у LDAP директоријумима
Пројектујте избор директоријума и Squid кеш за аутентификацију заједно када независни LDAP директоријуми садрже исто кратко корисничко име.
Ако два независна директоријума оба садрже alex, прокси треба избор директоријума пре него што провери лозинку. Покушај прво A па B крије тај избор унутар неуспеха аутентификације и може да помеша недоступан директоријум са одбијеном тајном.
Два распореда могу да учине идентитет експлицитним:
- Квалификована пријава. Име попут
[email protected]бира преко диспечера фиксни директоријум који је одредио администратор. Сачувајте квалификовани идентитет за ауторизацију и евидентирање. Не претварајте суфикс који достави клијент у произвољну адресу LDAP сервера. - Стабилан поуздан контекст захтева. Директоријум бира слушалац или други подржани контекст. Дефинишите шта се дешава када се особа креће или користи други слушалац; мрежна локација није лични идентитет.
Реплике једног директоријума су другачије: деле простор имена идентитета. Неповезани директоријуми не постају реплике зато што оба користе LDAP.
Ускладите кључ Squid кеша акредитива са избором помоћника. Референца auth_param описује key_extras за преношење додатног контекста и његово укључивање у кључ кеша, укључујући случај истоветних имена разлучен их портом за слушање. Помоћник мора да разуме проширени улаз, а изабрани макро мора да буде доступан у тој фази аутентификације.
Преферирајте стабилан контекст. Често променљива IP адреса клијента може да умножи идентитете у кешу и промени контроле које очекују један кориснички идентитет.
Одвојено дефинишите непознат директоријум, непознат налог, одбијену лозинку и недоступан директоријум. Налог North не сме тихо да постане Alex из Southa када North није доступан. Одржите те исходе разлучивим у записима без бележења лозинки.