Varför Squid Basic LDAP-autentisering fortfarande frågar efter ett lösenord

En Squid-konfiguration kan kontrollera lösenord mot Active Directory och ändå visa en inloggningsruta. Det betyder inte nödvändigtvis att något är trasigt. AD beskriver var kontot finns; det säger inte hur webbläsaren ska bevisa vem användaren är.

På den här raden är det viktiga ordet basic:

auth_param basic realm Windows Logon

Orden efter realm namnger det skyddade autentiseringsområdet. De begär ingen Windows-åtkomsttoken och växlar inte utmaningen till Negotiate. En Basic LDAP-hjälpare tar emot de angivna uppgifterna och kontrollerar dem mot katalogen.

I en typisk konfiguration finns tre separata beslut: hur Squid utmanar klienten, hur en hjälpare validerar svaret och vilka autentiserade användare eller grupper en åtkomstregel tillåter. En lyckad LDAP-gruppsökning hanterar bara det sista beslutet. Den kan inte leverera webbläsarens saknade uppgifter.

Om kravet är en tyst inloggning

Välj ett webbläsarstött integrerat autentiseringsschema och konfigurera dess förutsättningar på serversidan. För Kerberos-baserad Negotiate omfattar det tjänsteidentiteten och nyckelmaterialet, samt en klientpolicy som tillåter autentisering mot den proxyn. Att bara byta hjälparens körbara fil under en Basic-konfiguration utför inte den omställningen.

Bestäm vilket resultat du behöver innan du ersätter en fungerande LDAP-inställning. Att acceptera samma användarnamn och lösenord som vid inloggning på en arbetsstation är ett rimligt Basic-krav. Att återanvända den inloggade Windows-identiteten utan att fråga efter lösenordet är ett annat krav, med annat arbete för protokoll och driftsättning.