Re: [Comm] Squid+Ad проблема

["Половников Денис" <itech@avtoprognoz.ru>]

Здравствуйте,

В общем как удалось выяснить методом тыка. Авторизация не работает в
режиме транспорент. Аклы ограничивающие доступ к сайтам работают
нормально в этом режиме.
Но когда у клиента руками прописываеш проксю то
пускает всех кто в домене невзирая на аклы групп.

Вы писали 14 августа 2008 г., 17:27:25:

> Здравствуйте, ALT.

> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси. В общем много
> страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
> его в группу Internet в AD в аклах написано что ему доступ разрешон. В
> итоге при конекте получаем акцес денайт от сквида.
> Из командной строки хелпер проходит авторизацию отлично.

> Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
> сайтов в инете везде написано что все должно быть ок.

> auth_param ntlm program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-ntlmssp
> auth_param ntlm children 10                                        
> auth_param basic program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-basic 
> auth_param basic children 5                                        
> auth_param basic realm Squid proxy-caching web server              
> auth_param basic credentialsttl 2 hours                            
> auth_param basic casesensitive off

> acl all src 0.0.0.0/0.0.0.0
> acl manager proto cache_object                                  
> acl localhost src 127.0.0.1/255.255.255.255                     
> acl to_localhost dst 127.0.0.0/8                                
> acl SSL_ports port 443 # https                                  
> acl SSL_ports port 563 # snews                                  
> acl Rsync_ports port 873                                        
> acl Jabber_ports port 5222 5223                                 
> acl ICQ_ports port 5190 # ICQ                                   
> acl Safe_ports port 80 # http                                   
> acl Safe_ports port 21 # ftp                                    
> acl Safe_ports port 443 # https                                 
> acl Safe_ports port 70 # gopher                                 
> acl Safe_ports port 210 # wais                                  
> acl Safe_ports port 1025-65535 # unregistered ports             
> acl Safe_ports port 280 # http-mgmt                             
> acl Safe_ports port 488 # gss-http                              
> acl Safe_ports port 563 # snews                                 
> acl Safe_ports port 591 # filemaker                             
> acl Safe_ports port 777 # multiling http                        
> acl Safe_ports port 631 # cups                                  
> acl Safe_ports port 873 # rsync                                 
> acl Safe_ports port 901 # SWAT                                  
> acl CONNECT method CONNECT                                      
> external_acl_type nt_group %LOGIN /usr/lib/squid/wbinfo_group.pl
>                                                                 
> # only ICQ                                                      
> acl inet_icq external nt_group icqinternet                      
> # full inet                                                     
> acl inet_full external nt_group internet                        
> # Avtorizaciya                                                  
> acl MYDOMAIN proxy_auth REQUIRED                                
>                                                                 
> acl bad_url url_regex "/etc/squid/db/deny_url"                  
> acl deny_domains dstdomain "/etc/squid/db/deny_domains"         
> acl bad_networks dst "/etc/squid/db/bad_networks"

> http_access deny manager
> http_access deny !Safe_ports                                  
> http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
> http_access allow MYDOMAIN                                    
> http_access deny bad_url                                      
> http_access allow inet_icq ICQ_ports                          
> http_access deny bad_networks                                 
> http_access deny deny_domains                                 
> http_access allow localhost
> http_access allow inet_full                                   
> http_access deny all




-- 
С уважением,
 Половников Денис                         mailto:itech@avtoprognoz.ru