Squid và tên người dùng trùng lặp giữa các thư mục LDAP

Nếu hai thư mục độc lập đều chứa alex, proxy cần chọn thư mục trước khi kiểm tra mật khẩu. Thử A rồi B sẽ giấu lựa chọn đó bên trong lỗi xác thực và có thể nhầm thư mục không sẵn sàng với một bí mật bị từ chối.

Hai cách bố trí có thể làm danh tính trở nên rõ ràng:

• Đăng nhập có định danh. Một tên như [email protected] chọn qua bộ điều phối một thư mục cố định do quản trị viên xác định. Giữ nguyên danh tính có định danh cho việc cấp quyền và ghi nhật ký. Đừng biến hậu tố do máy khách cung cấp thành địa chỉ máy chủ LDAP tùy tiện.
• Ngữ cảnh yêu cầu tin cậy và ổn định. Một trình lắng nghe hoặc ngữ cảnh được hỗ trợ khác chọn thư mục. Hãy định nghĩa điều gì xảy ra khi người dùng di chuyển hoặc dùng trình lắng nghe khác; vị trí mạng không phải danh tính cá nhân.

Các bản sao của một thư mục thì khác: chúng chia sẻ một không gian tên danh tính. Các thư mục không liên quan không trở thành bản sao chỉ vì cả hai đều dùng LDAP.

Hãy làm cho khóa bộ nhớ đệm thông tin xác thực của Squid khớp với lựa chọn của trình trợ giúp. Tài liệu tham chiếu auth_param mô tả key_extras để truyền ngữ cảnh bổ sung và đưa nó vào khóa bộ nhớ đệm, kể cả trường hợp các tên giống nhau được phân biệt bằng cổng lắng nghe. Trình trợ giúp phải hiểu đầu vào mở rộng, và macro được chọn phải có sẵn ở giai đoạn xác thực đó.

Ưu tiên ngữ cảnh ổn định. IP máy khách thay đổi thường xuyên có thể nhân lên các danh tính trong bộ nhớ đệm và thay đổi những kiểm soát vốn mong đợi một danh tính người dùng duy nhất.

Hãy định nghĩa riêng thư mục không xác định, tài khoản không xác định, mật khẩu bị từ chối và thư mục không sẵn sàng. Tài khoản của North không được lặng lẽ trở thành Alex của South khi North không sẵn sàng. Giữ các kết quả đó phân biệt được trong nhật ký mà không ghi lại mật khẩu.