Архив форумов ЦИТФорума

[Pingvinenok]

Всем привет!
Итак, samba & winbind настроены и работают корректно.
Настроил squid (stable12) для работы с ntlm-авторизацией
простой squid.conf:
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of="Mydomain\\WWWUsers"

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic --require-membership-of="Mydomain\\WWWUsers"
acl WWWUsers proxy_auth REQUIRED

http_access allow WWWUsers
http_access deny all

Кого надо, пускает, кого не надо, не пускает. НО!
А как в случае с оной ntlm рулить дальше типа

acl BadFiles url_regex -i /*mp3$
acl BadFilesAllowedUsers proxy_auth REQUIRED ВОТ ЗДЕСЬ КАК ДЕЛАТЬ?
http_access allow BadFiles BadFilesAllowedUsers
http_access deny BadFiles WWWUsers
http_access allow WWWUsers
http_access deny all

В общем, как разграничивать пользователей при ntlm-авторизации?
перерыл уже достаточно много, ни фига не нашел, все описания заканчиваются на простом доступе группы из NT к сквиду

Вопрос №2
На моей машине W2KProf IE6.0SP1 IE подключается к сквиду нормально, без запроса пароля. А вот на XPSP2 IE спрашивает имя\пароль и даже в этом случае не дает коннекта к сквиду.
Опера везде нормально работает.
?
Вопрос №3, чисто по сквиду:
параметр retry_on_error

[Pingvinenok]

Тэк-с..
После длительных разборок пришел к выводу, что при ntlm-аутент. рулить acl невозможно. Нужно ставить что-нибудь вроде squidguard или sams, например.
Хотя и непонятно, почему squid не понимает, например, такие acl

acl AdminUsers proxy_auth Mydomain\admin
acl AllUsers proxy_auth Mydomain\WWWUsers

Права-то на файлы Linux для юзеров NT я могу указывать...

Остальные вопросы остаются открытыми..
_________________
Съешь еще мягких французских булок,да выпей чаю!

[Pingvinenok]

Еще раз тэк-с - по поводу XPSP2(он же IE6.0SP1+updates) - смотрим сюда, пожалуй
http://support.microsoft.com/default.aspx?id=kb;en-us;331906
ну и, конечно, squid-cache.org
_________________
Съешь еще мягких французских булок,да выпей чаю!

[Nonameduser]

Приветствую.

Ситуация полностью аналогичная. Любой доменный пользватель вне зависимости от принадлежности к указанной группе(noinetg) может пройти через прокси-сервер.
Как видно из нижеприведённого конф. файла, я пытался сделать авторизацию по группам с помощью --require-membership-of="SID of noinetg"(писал и по имени группы тоже) и скрипта wbinfo_group.pl. Ни один из этих способов результатов не дал.

Система:

Slackware 2.4.31
Squid-2.5-STABLE12 сконфгурирован с поддержкой NTLM, basic и wbinfo_group.
Samba-3.0.20b. Сконфигурирован с поддержкой kerberos и LDAP.

Выдержка из squid.conf:

===============================================

auth_param ntlm program /path/to/ntlm_auth --require-membership-of="SID of noinetg" --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 7
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 2 minutes

auth_param basic program /path/to/ntlm_auth --require-membership-of="SID of noinetg" --helper-protocol=squid-2.5-ntlmssp
auth_param basic children 7
auth_param basic realm MYREALM
auth_param basic credentialsttl 2 hours
auth_param basic casesensitivite on

external_acl_type NT %LOGIN /path/to/wbinfo_group.pl

acl dom proxy_auth REQUIRED
acl inet_users external NT noinetg

http_access allow inet_users
http_access deny all

===============================================


Заранее спасибо всем, кто откликнется.

[Pingvinenok]

Ну, во-первых, здесь

[Nonameduser]

Спасибо за советы. Пофиксил указанное, но результат =~0

[Nonameduser]

Да, и ещё один глупый вопрос(надеюсь, что последний):
Если я установлю и настрою Squid Guard или SAMS, то решит ли это проблемы с невозможностью авторизации по группам?

Как я понял из этой статьи { http://informatik.asn-graz.ac.at/modules.php?name=News&file=article&sid=2710 }, для его корректной работы следует модифицировать ntlm_auth до компиляции самбы.
Или этот способ анахронизм и мне следует курить changelog самбы?

[Pingvinenok]

Под тем, что выдает ntlm_auth, имел в виду, нормально ли разрешается принадлежность юзера к группе:
# ntlm_auth --helper-protocol=squid-2.5-basic --require-membership-of="Mydomain\\WWWUsers"
admin password
OK
not_www_user password
ERR

Что касается редиректоров, то они не авторизуют, а разрешают\запрещают доступ к определенным ресурсам.
И по неким своим группам в т.ч.
Но в любом случае сначала нужно добиться как минимум того, чтобы Сквид авторизовал на доступ к себе юзеров только из одной разрешенной вами группы домена.
_________________
Съешь еще мягких французских булок,да выпей чаю!

[Nonameduser]

Спасибо за помощь.

Если указать --helper-protocol=squid-2.5-basic или ntlmssp - процесс намертво виснет. Без него проходит гладко.

Форму записи --require-membership-of="Mydomain\\WWWUsers" отвергает, говоря, что не может различить где тут домен, а где группа.
Но это не критично, ведь можно и иначе:

--require-membership-of="SID of group" - выдаёт ОК; авторизует всех подряд без вопросов.


Полагаю, в этом случае надо копаться в smb.conf?

[Pingvinenok]

Что-то, мне кажется, с ntlm-auth у вас не в порядке.
без указания --helper-protocol вообще не должна работать.
(форма "Mydomain\\WWWUsers" - это у меня так в сквиде прописано, иначе не выходило. В консоли прокатывает и с одним слэшем )
Может быть, используете ntlm_auth из поставки сквида, а не самбы?
Какие версии сквида и самбы?
Как машину в домен вводили? ads или domain уровень?
wbinfo -g листает группы домена?
Ну и, как говорят крутые цитфорумчане, smb.conf - в студию!
_________________
Съешь еще мягких французских булок,да выпей чаю!

[Nonameduser]

На "вы" обращаться не обязательно. Если можно, то лучше на "ты". Спасибо.