Чому Basic-автентифікація Squid досі приймає старий пароль

Зміна файлу паролів Squid не обов'язково змушує кожен наступний запит знову звертатися до допоміжного процесу. За Basic-автентифікації Squid може кешувати успішно перевірену пару імені користувача й пароля.

У Squid 6.13 налаштування, що визначає, скільки часу ця перевірка вважається чинною, має назву credentialsttl. Наприклад:

auth_param basic credentialsttl 5 minutes

Це приклад значення політики, а не універсальна рекомендація. Обирайте його з огляду на прийнятну затримку відкликання доступу та навантаження, яке витримує ваша система автентифікації.

Розділіть три перевірки

Спочатку переконайтеся, що змінили файл, який використовує активний допоміжний процес. Правильна зміна невикористовуваного файлу не має ефекту. Потім перевірте, чи процес може прочитати файл і перевірити нові дані облікового запису. Нарешті, виконайте новий запит через робочий екземпляр проксі, де також діють кеш облікових даних і правила доступу.

Перевіряйте допоміжний процес і робочий проксі окремо. Процес показує, що система автентифікації приймає зараз, а Squid може ще використовувати кешований результат перевірки. Під час заміни даних перевірте і роботу нових, і відхилення старих після відповідного строку чинності перевірки.

Для дослідження використовуйте окремий тестовий обліковий запис. Зберігайте однаковими запит, джерело клієнта й ціль, не додавайте справжні паролі до спільного виводу команд.

Плануйте відкликання доступу, а не покладайтеся на зміну файлу

Коротший строк чинності перевірки збільшує роботу системи автентифікації. Перш ніж скорочувати його в навантаженій службі, оцініть спроможність допоміжних процесів і перевірте поведінку з реальною системою. Не вважайте, що перечитування конфігурації очищує всі пов'язані стани автентифікації, якщо це не встановлено для вашої версії та налаштувань.

Для термінового відкликання доступу явна заборона облікового запису або джерела може створити окрему межу. Перевірте цю заборону з відповідного маршруту, замість покладатися лише на видалення з файлу паролів.

Це налаштування описує кешування перевірки Basic. Орієнтовані на з'єднання схеми автентифікації мають додатковий стан; переносити на них ту саму модель відкликання доступу за аналогією не слід.