Re: Re: Squid Ldap

                Hello!

On Sat, 29 May 2004 CGatePro@mx.ru wrote:

> Во-первых, при чем тут поиск? Если Вы хотите сказать, что это клиент ходит к
> этому squid при помощи SASL протоколов (таких как CRAM_MD5), то тогда Вам

        Конечно.

> МОЖЕТ быть нужен "чистый" clear text пароль юзера, чтобы реализовать
> CRAM_MD5 в самом этом squid. Даже в этом случае поиск Вам не нужен, потому
> что Вы знаете имя пользователя, и, значит, пожете построить его DN. Сразу.

        Я имел ввиду, что придется сделать search, и ваш "правильный" подход:

> > > Я надеюсь, Вы делаете нормально, то есть формируете DN:
> > > uid=username,cn=domain.com и пытаетесь выполнить BIND операцию с этим
> > > DN и паролем пользователе, как BIND DN?
не работает. Более того, он почти всегда не работает, поскольку внешние системы стараются проверять аутентификацию унифицированно, вне зависимости от используемого конкретным пользователем протокола.

        Правильное имя построить можно. Но все равно это будет не BIND, а SEARCH.
> б) проксировать SASL протокол с внешнего клиента в SASL протокол LDAP,
> используя сообщенное в начале SASL протокола имя в качестве BIND DN.
        Здесь можно чуть подробнее? Как это?

> Я не знаю, почему Вы говорите о CRAM-MD5, ни один известный мне браузер его
> не поддерживает. А вот DIGEST-MD5 - поддерживают. Только в HTTP это
> DIGEST-MD5, а в SASL- это другой DIGEST-MD5, и там надо аккуратно
> разбираться, как проксировать. А вот NTLM (который понимает по крайней мере
> Explorer) можно проксировать прямо.

        В принципе, вопрос про squid просто под руку подвернулся. Просто вы уже много раз писали без оговорок, что при аутентификации внешних систем нужно пользоваться только BIND. Поскольку мне это еще ни разу не удалось сделать (кто ж в наше время пароли передает) - решил заметить, что тут надо сделать большую оговорку. А еще лучше, такие методы рекомендовать лишь для тех протоколов, которые можно проксировать. Если вы где-то напишите как.

        Bye. Alex.

--