Squid at ang mga Dobleng Username sa mga Direktoryo ng LDAP
Sabay na idisenyo ang pagpili ng direktoryo at ang cache ng pagpapatotoo ng Squid kapag ang mga independiyenteng direktoryo ng LDAP ay may parehong maikling username.
Kung dalawang independiyenteng direktoryo ang parehong may alex, kailangan ng proxy ng pagpili ng direktoryo bago ito magsuri ng password. Ang pagsusubok muna sa A at pagkatapos ay B ay nagtatago ng pagpiling iyon sa loob ng kabiguan ng pagpapatotoo at maaaring ipagkamali ang isang direktoryong hindi magagamit sa isang tinanggihang lihim.
Dalawang kaayusan ang makapagpapalinaw ng pagkakakilanlan:
- Kwalipikadong pag-login. Ang isang pangalang tulad ng
[email protected]ay pumipili sa pamamagitan ng isang dispatcher ng isang nakapirming direktoryong tinukoy ng administrador. Panatilihin ang kwalipikadong pagkakakilanlan para sa awtorisasyon at pag-log. Huwag gawing arbitraryong address ng LDAP server ang suffix na ibinigay ng kliyente. - Matatag at mapagkakatiwalaang konteksto ng kahilingan. Ang isang tagapakinig o iba pang suportadong konteksto ang pumipili ng direktoryo. Tukuyin ang nangyayari kapag ang isang tao ay gumagalaw o gumagamit ng ibang tagapakinig; ang lokasyon sa network ay hindi personal na pagkakakilanlan.
Ang mga replika ng isang direktoryo ay iba: nagbabahagi sila ng isang namespace ng pagkakakilanlan. Ang mga hindi kaugnay na direktoryo ay hindi nagiging replika dahil parehong gumagamit ng LDAP.
Itugma ang susi ng cache ng kredensyal ng Squid sa pagpili ng helper. Inilalarawan ng sangguniang auth_param ang key_extras para sa pagpasa ng karagdagang konteksto at pagsasama nito sa susi ng cache, kabilang ang kaso ng magkatulad na pangalan na pinaghiwalay ng listening port. Dapat maunawaan ng helper ang pinahabang input, at ang napiling macro ay dapat makita sa yugtong iyon ng pagpapatotoo.
Mas mainam ang matatag na konteksto. Ang madalas na nagbabagong IP ng kliyente ay maaaring magparami ng mga pagkakakilanlan sa cache at baguhin ang mga kontrol na umaasa sa isang pagkakakilanlan ng user.
Hiwalay na tukuyin ang hindi kilalang direktoryo, hindi kilalang account, tinanggihang password at hindi magagamit na direktoryo. Ang account ng North ay hindi dapat tahimik na maging Alex ng South kapag hindi magagamit ang North. Panatilihing makikilala ang mga resultang iyon sa mga log nang hindi nagtatala ng mga password.