Varför Squids Basic-autentisering fortfarande godtar ett gammalt lösenord

Att ändra Squids lösenordsfil gör inte nödvändigtvis att varje efterföljande begäran anropar hjälpprogrammet igen. Vid Basic-autentisering kan Squid cachelagra ett par av användarnamn och lösenord som har validerats.

Inställningen i Squid 6.13 som styr hur länge denna kontroll räknas som giltig är credentialsttl. Till exempel:

auth_param basic credentialsttl 5 minutes

Detta är ett exempelvärde för en policy, inte en universell rekommendation. Välj det utifrån den fördröjning vid återkallelse du kan acceptera och belastningen som din autentiseringsbackend klarar.

Skilj på tre kontroller

Bekräfta först att du har redigerat filen som det aktiva hjälpprogrammet använder. En korrekt ändring i en oanvänd fil har ingen effekt. Kontrollera sedan att hjälpprogrammet kan läsa filen och validera de nya kontouppgifterna. Testa slutligen en ny proxybegäran genom den körande instansen, där cachelagring av inloggningsuppgifter och åtkomstregler också gäller.

Testa hjälpprogrammet och den körande proxyn var för sig. Hjälpprogrammet visar vad backenden godtar just nu, medan Squid fortfarande kan återanvända en cachelagrad validering. Kontrollera vid byte både att de nya uppgifterna fungerar och att de gamla avvisas efter det tillämpliga valideringsintervallet.

Använd ett särskilt testkonto när du undersöker detta beteende. Håll begäran, klientkälla och mål oförändrade och undvik riktiga lösenord i delad kommandoutdata.

Planera återkallelse i stället för att lita på en filändring

Kortare giltighetstid för valideringen ökar backendens arbete. Överväg hjälpprogrammens kapacitet och verifiera beteendet med den faktiska backenden innan du förkortar den på en hårt belastad tjänst. Anta inte att omladdning av konfigurationen rensar allt relevant autentiseringstillstånd om det inte har fastställts för din version och konfiguration.

Vid brådskande borttagning av åtkomst kan ett uttryckligt åtkomstförbud för konto eller källa ge en separat gräns. Testa det förbudet från den berörda vägen i stället för att bara lita på borttagning ur lösenordsfilen.

Denna inställning beskriver cachelagring av Basic-validering. Anslutningsorienterade autentiseringsscheman har ytterligare tillstånd och bör inte tilldelas samma återkallelsemodell enbart genom analogi.