[Comm] Squid+Ad проблема

[Comm] Squid+Ad проблема

[Половников Денис]

Здравствуйте, ALT.

Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
win2003. Сквид работает в режиме траспоренд прокси. В общем много
страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
его в группу Internet в AD в аклах написано что ему доступ разрешон. В
итоге при конекте получаем акцес денайт от сквида.
Из командной строки хелпер проходит авторизацию отлично.

Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
сайтов в инете везде написано что все должно быть ок.

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 10                                                   
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic 
auth_param basic children 5                                                   
auth_param basic realm Squid proxy-caching web server                         
auth_param basic credentialsttl 2 hours                                       
auth_param basic casesensitive off

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object                                  
acl localhost src 127.0.0.1/255.255.255.255                     
acl to_localhost dst 127.0.0.0/8                                
acl SSL_ports port 443 # https                                  
acl SSL_ports port 563 # snews                                  
acl Rsync_ports port 873                                        
acl Jabber_ports port 5222 5223                                 
acl ICQ_ports port 5190 # ICQ                                   
acl Safe_ports port 80 # http                                   
acl Safe_ports port 21 # ftp                                    
acl Safe_ports port 443 # https                                 
acl Safe_ports port 70 # gopher                                 
acl Safe_ports port 210 # wais                                  
acl Safe_ports port 1025-65535 # unregistered ports             
acl Safe_ports port 280 # http-mgmt                             
acl Safe_ports port 488 # gss-http                              
acl Safe_ports port 563 # snews                                 
acl Safe_ports port 591 # filemaker                             
acl Safe_ports port 777 # multiling http                        
acl Safe_ports port 631 # cups                                  
acl Safe_ports port 873 # rsync                                 
acl Safe_ports port 901 # SWAT                                  
acl CONNECT method CONNECT                                      
external_acl_type nt_group %LOGIN /usr/lib/squid/wbinfo_group.pl
                                                                
# only ICQ                                                      
acl inet_icq external nt_group icqinternet                      
# full inet                                                     
acl inet_full external nt_group internet                        
# Avtorizaciya                                                  
acl MYDOMAIN proxy_auth REQUIRED                                
                                                                
acl bad_url url_regex "/etc/squid/db/deny_url"                  
acl deny_domains dstdomain "/etc/squid/db/deny_domains"         
acl bad_networks dst "/etc/squid/db/bad_networks"

http_access deny manager
http_access deny !Safe_ports                                  
http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
http_access allow MYDOMAIN                                    
http_access deny bad_url                                      
http_access allow inet_icq ICQ_ports                          
http_access deny bad_networks                                 
http_access deny deny_domains                                 
http_access allow localhost
http_access allow inet_full                                   
http_access deny all

-- 
С уважением,
 Половников  Денис                         mailto:itech@avtoprognoz.ru

Re: [Comm] Squid+Ad проблема

[Roman V. Tutov]

В сообщении от Thursday 14 August 2008 17:27:25 Половников Денис написал(а):
> Здравствуйте, ALT.
>
> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси. В общем много
> страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
> его в группу Internet в AD в аклах написано что ему доступ разрешон. В
> итоге при конекте получаем акцес денайт от сквида.
> Из командной строки хелпер проходит авторизацию отлично.
>
> Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
> сайтов в инете везде написано что все должно быть ок.
>
а разве использование режима transparent  не исключает возможность 
использовать ACL ?

-- 
Тутов Роман Викторович
Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] Squid+Ad проблема

[Алексей Шенцев]

В сообщении от Thursday 14 August 2008 17:43:20 Roman V. Tutov написал(а):
> а разве использование режима transparent  не исключает возможность
> использовать ACL ?
Исключает.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Comm] Squid+Ad проблема

[Половников Денис]

Здравствуйте,

В общем как удалось выяснить методом тыка. Авторизация не работает в
режиме транспорент. Аклы ограничивающие доступ к сайтам работают
нормально в этом режиме.
Но когда у клиента руками прописываеш проксю то
пускает всех кто в домене невзирая на аклы групп.

Вы писали 14 августа 2008 г., 17:27:25:

> Здравствуйте, ALT.

> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси. В общем много
> страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
> его в группу Internet в AD в аклах написано что ему доступ разрешон. В
> итоге при конекте получаем акцес денайт от сквида.
> Из командной строки хелпер проходит авторизацию отлично.

> Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
> сайтов в инете везде написано что все должно быть ок.

> auth_param ntlm program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-ntlmssp
> auth_param ntlm children 10                                        
> auth_param basic program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-basic 
> auth_param basic children 5                                        
> auth_param basic realm Squid proxy-caching web server              
> auth_param basic credentialsttl 2 hours                            
> auth_param basic casesensitive off

> acl all src 0.0.0.0/0.0.0.0
> acl manager proto cache_object                                  
> acl localhost src 127.0.0.1/255.255.255.255                     
> acl to_localhost dst 127.0.0.0/8                                
> acl SSL_ports port 443 # https                                  
> acl SSL_ports port 563 # snews                                  
> acl Rsync_ports port 873                                        
> acl Jabber_ports port 5222 5223                                 
> acl ICQ_ports port 5190 # ICQ                                   
> acl Safe_ports port 80 # http                                   
> acl Safe_ports port 21 # ftp                                    
> acl Safe_ports port 443 # https                                 
> acl Safe_ports port 70 # gopher                                 
> acl Safe_ports port 210 # wais                                  
> acl Safe_ports port 1025-65535 # unregistered ports             
> acl Safe_ports port 280 # http-mgmt                             
> acl Safe_ports port 488 # gss-http                              
> acl Safe_ports port 563 # snews                                 
> acl Safe_ports port 591 # filemaker                             
> acl Safe_ports port 777 # multiling http                        
> acl Safe_ports port 631 # cups                                  
> acl Safe_ports port 873 # rsync                                 
> acl Safe_ports port 901 # SWAT                                  
> acl CONNECT method CONNECT                                      
> external_acl_type nt_group %LOGIN /usr/lib/squid/wbinfo_group.pl
>                                                                 
> # only ICQ                                                      
> acl inet_icq external nt_group icqinternet                      
> # full inet                                                     
> acl inet_full external nt_group internet                        
> # Avtorizaciya                                                  
> acl MYDOMAIN proxy_auth REQUIRED                                
>                                                                 
> acl bad_url url_regex "/etc/squid/db/deny_url"                  
> acl deny_domains dstdomain "/etc/squid/db/deny_domains"         
> acl bad_networks dst "/etc/squid/db/bad_networks"

> http_access deny manager
> http_access deny !Safe_ports                                  
> http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
> http_access allow MYDOMAIN                                    
> http_access deny bad_url                                      
> http_access allow inet_icq ICQ_ports                          
> http_access deny bad_networks                                 
> http_access deny deny_domains                                 
> http_access allow localhost
> http_access allow inet_full                                   
> http_access deny all




-- 
С уважением,
 Половников Денис                         mailto:itech@avtoprognoz.ru

Re: [Comm] Squid+Ad проблема

[Алексей Шенцев]

В сообщении от Thursday 14 August 2008 18:00:31 Половников Денис написал(а):
> В общем как удалось выяснить методом тыка. Авторизация не работает в
> режиме транспорент. Аклы ограничивающие доступ к сайтам работают
> нормально в этом режиме.
> Но когда у клиента руками прописываеш проксю то
> пускает всех кто в домене невзирая на аклы групп.
Естественно - у вас же прозрачный доступ.
-- 
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845

Re: [Comm] Squid+Ad проблема

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 230 bytes --]

* Половников Денис <itech@> [080814 17:34]:
> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси.
Так не бывает.  В принципе.

-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Squid+Ad проблема

[Половников Денис]

Здравствуйте, Alexey.

Вы писали 14 августа 2008 г., 18:06:14:

> * Половников Денис <itech@> [080814 17:34]:
>> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
>> win2003. Сквид работает в режиме траспоренд прокси.
> Так не бывает.  В принципе.

Спасибо всем что просветили.


-- 
С уважением,
 Половников Денис                         mailto:itech@avtoprognoz.ru

Re: [Comm] Squid+Ad проблема

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 429 bytes --]

* Половников Денис <itech@> [080815 10:54]:
> >> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> >> win2003. Сквид работает в режиме траспоренд прокси.
> > Так не бывает.  В принципе.
> Спасибо всем что просветили.
Это написано в любой доке по squid.  Например тут -
http://wiki.squid-cache.org/SquidFaq/InterceptionProxy#head-e56904dd4dfe0e21e5c2903473c473d401533ac7


-- 
Regards,
Sir Raorn.

[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]