Архив форумов ЦИТФорума

[grf]

в общем есть домен на основе Винды 2003, со всеми прибамбасами.
В инет смотрит через шлюз, на фри. На фри стоит сквид и хотелось сделать авторизацию на основе виндовых логинов паролей. В общем типичная задачка, поднимлась уже даже на этом форуме
http://forum.citforum.ru/viewtopic.php?t=45091&highlight=squid
, описанная, например здесь
http://www.opennet.ru/base/net/win_squid.txt.html

Но тем не менее есть вопросы, которые хотелось разъяснить.
1. Обязательно ли поднимать самбу? Сквид поддерживает протокол LDAP, возможно ли напрямую обращаться к контроллеру домена за инфой?
2. Как сквид проверяет логины-пароли. Ему надо запросить логин-пароль с виндовс машины клиента, передать их контоллеру домена и получить от него ответ - свой казачок, или засланный, при этом вести лог по имени пользователя? Как это все происходит?

Собственно сильно не пинайте, ламер пока. особенно в никсах, разбираюсь.

_________________
Errare humanum est

[and3008]

1. Обязательно. Только LDAP не прокатит. К нему еще и Kerberos надобен.
2. Используется NTLM-авторизация. Доки в Интернете найти можно.

[grf]

Спасибо, но в книге, которую я читаю Microsoft Windows server 2000
Андреев А. Г. и др.
Под общей редакцией А. Чекморева и Д. Вишнякова
С.-Питербург, БХВ-Питербург, 2002г. 960 стр.

есть такие строки

[ANDronis]

настраивал все по граблеводству
http://volgograd.lug.ru/wiki/GrableVodstvo/articles/SquidNtlm
работает, единственное, что не удовлетворяет - запрос логина и пароля при каждом запуске IE. здесь же, на форуме задавал вопрос,
http://forum.citforum.ru/viewtopic.php?t=47322
как такое победить, но никто не смор подсказать направление для изысканий

[and3008]

Несколько порно-ньюансов:
1. Однако без данных авторизации контекст безопасности не может быть использован для имперсонализации.

2. Эти учет¬ные записи могут быть синхронизированы с помощью LDAP.


То, что надо читать между строк:

1. Чтобы правильно задействовать авторизацию для работы в AD надо использовать микрософтовские функции API. Реализованы они только в ОС Windows. Так что про кроссплатформенность забудьте. На ОС "не Windows" это не работает, т.к. нет API, а в ОС Windows использовать что-то отличное от Active Directory просто глупо.

2. Реализация LDAP в Active Directory разительно отличается от реализации LDAP от других вендоров. Если бы все было так просто, то многие давно бы уже кричали на всех углах, мол наш супер-пупер LDAP круче чем LDAP от Microsoft. По крайней мере бы заявляли о совместимости своих LDAP-решений с Active Directory. Вы видите толпу таких вендоров? Вот и я не вижу...

[scazi1]

Посмтрите здесь, в разделе статьи http://sams.irc.perm.ru/, особенно под номером 4, единственное что я делал не так, это сквид - configure options: '--prefix=/usr/local/squid' '--enable-auth=ntlm,basic' '--enable-basic-auth-helper=winbind' '--enable-ntlm-auth-helper=winbind', basic можно не добавлять, использовалось для собственных нужд, ldap не ставился

[grf]

Спасибо, and3008, раскрыл глаза

Спасибо, всем.


_________________
Errare humanum est

[Caravelli]

Сам недавно работал над этим вопросом.

Реализовал через winbindd
Samba поднимать не надо, но smb.conf настраивать нужно.
Подправить файл nsswitch.conf
Подправить файл krb5.conf
ввести машину в домен с помощью net ads
Настройка squid.conf
а именно
auth_param ntlm program

acl типа proxy_auth

Неплохо описано в статье Рашида Ачилова на samag.ru и пр. (см.Google по автору - найдешь быстро)

Говорят можно pam обойтись - не пробовал.

Если заинтересует как именно сделано - пиши расскажу.