Зашто Squid Basic аутентификација и даље прихвата стару лозинку

Промена Squid-ове датотеке лозинки не значи нужно да ће сваки наредни захтев поново позвати помоћни програм. Код Basic аутентификације Squid може кеширати успешно проверен пар корисничког имена и лозинке.

Поставка Squid-а 6.13 која одређује колико се та провера сматра важећом јесте credentialsttl. На пример:

auth_param basic credentialsttl 5 minutes

Ово је пример вредности политике, не универзална препорука. Одаберите је према прихватљивом кашњењу опозива и оптерећењу које ваш аутентификациони бекенд може поднети.

Раздвојите три провере

Прво потврдите да сте уредили датотеку коју користи активни помоћни програм. Исправна промена некоришћене датотеке нема учинка. Затим проверите може ли помоћни програм читати датотеку и проверити нове податке налога. На крају тестирајте нов прокси захтев кроз покренуту инстанцу, где се такође примењују кеширање акредитива и правила приступа.

Тестирајте помоћни програм и покренути прокси одвојено. Помоћни програм показује шта бекенд тренутно прихвата, док Squid можда још користи кеширану проверу. Током ротације проверите и да нови акредитиви раде и да се стари одбијају након одговарајућег периода важења провере.

Користите наменски тестни налог при истраживању овог понашања. Задржите исти захтев, извор клијента и одредиште, а стварне лозинке не стављајте у дељени излаз наредби.

Планирајте опозив уместо ослањања на измену датотеке

Краће важење провере повећава рад бекенда. Пре скраћивања на оптерећеној услузи размотрите капацитет помоћних програма и проверите понашање са стварним бекендом. Не претпостављајте да поновно учитавање конфигурације брише свако релевантно стање аутентификације ако то није утврђено за вашу верзију и поставку.

За хитно укидање приступа изричита забрана приступа налогу или извору може пружити засебну границу. Тестирајте ту забрану са погођене руте уместо ослањања само на уклањање из датотеке лозинки.

Ова поставка описује кеширање Basic провере. Аутентификационе шеме оријентисане на везу имају додатно стање и не треба им по аналогији доделити исти модел опозива.