[Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[BoBep]

Здравствуйте,
попробовал прикрутить авторизацию пользователей squid через домен W2K
все заработало, но захотелось большего - а именно проверки вхождения пользователя в определенную группу в домене W2K. 
все сделал по описанию - не работает. Стал смотреть внимательнее и обнаружил, что wbinfo (пакет samba-common-2.2.8-alt2) работает странно:

[bobep@ws32 bobep]$ wbinfo -p
'ping' to winbindd succeeded

[bobep@ws32 bobep]$ wbinfo -t
Secret is good

^^^^^^^^^ тут все путем, как и должно быть.

[bobep@ws32 bobep]$ wbinfo -u
0xc0000022

[bobep@ws32 bobep]$ wbinfo -g
0xc0000022

^^^^^^^^ а вот эти две команды должны выдавать списки пользователей и групп в домене.
Если проверять авторизацию конкретного пользователя в домене - 
типа 'wbinfo -a user%passwd' то все работает.
Если кто делал что-то подобное, посоветуйте, чего где подкрутить?

p.s. MASTER 2.2 + Updates
samba-2.2.8-alt2.rpm
squid-2.5.STABLE1-alt5.rpm


-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Grigory Batalov]

On Thu, 10 Jul 2003 10:27:08 +0400
BoBep <bobep@mail.ru> wrote:

> Здравствуйте,
> попробовал прикрутить авторизацию пользователей squid через домен W2K
> все заработало, но захотелось большего - а именно проверки вхождения пользователя в определенную группу в домене W2K. 

  <skip>

> [bobep@ws32 bobep]$ wbinfo -u
> 0xc0000022
> 
> [bobep@ws32 bobep]$ wbinfo -g
> 0xc0000022
> 
> ^^^^^^^^ а вот эти две команды должны выдавать списки пользователей и групп в домене.

  У меня тоже не выдают.

> Если проверять авторизацию конкретного пользователя в домене - 
> типа 'wbinfo -a user%passwd' то все работает.

  А если "/usr/lib/squid/wb_auth -d" и там "логин пароль" ?

> Если кто делал что-то подобное, посоветуйте, чего где подкрутить?
> 
> p.s. MASTER 2.2 + Updates
> samba-2.2.8-alt2.rpm
> squid-2.5.STABLE1-alt5.rpm

  У меня в /etc/squid/squid.conf касательно групп есть
  такие настройки:

acl worktime         time MTWHF 08:00-17:15
...
external_acl_type NT_global_group %LOGIN /usr/lib/squid/wb_group
acl int_user external NT_global_group int_user
...
http_access allow password int_user worktime

  Для проверки запускаете /usr/lib/squid/wb_group -d
  и вводите логин/группу:

bga int_user

  В ответ видите много сообщений "совпало/не совпало"
  и, в конце концов, OK либо ERR. Должно быть OK =).
  
  Кстати, у меня стоит пересобранный squid с файлами
  wbcommon от samba-2.2.8 (в squid были свои). Я об этом
  писал сюда и в BTS. Если не получится, могу прислать патч.

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[BoBep]

On Thu, 10 Jul 2003 15:56:54 +0400
Grigory Batalov <grisxa@mail.ru> wrote:

> > Если проверять авторизацию конкретного пользователя в домене - 
> > типа 'wbinfo -a user%passwd' то все работает.
> 
>   А если "/usr/lib/squid/wb_auth -d" и там "логин пароль" ?
И это тоже работает.

>   У меня в /etc/squid/squid.conf касательно групп есть
>   такие настройки:
> 
> acl worktime         time MTWHF 08:00-17:15
> ...
> external_acl_type NT_global_group %LOGIN /usr/lib/squid/wb_group
> acl int_user external NT_global_group int_user
> ...
> http_access allow password int_user worktime
Да, у меня все так же настроено.
 
>   Для проверки запускаете /usr/lib/squid/wb_group -d
>   и вводите логин/группу:
> 
> bga int_user
> 
>   В ответ видите много сообщений "совпало/не совпало"
>   и, в конце концов, OK либо ERR. Должно быть OK =).

У меня здесь нет "много сообщений":

[bobep@ws32 bobep]$ /usr/lib/squid/wb_group -d
/wb_group[5147](wb_check_group.c:267): External ACL winbindd group helper build Nov 29 2002, 13:42:46 starting up...
vg proxyusers
/wb_group[5147](wb_check_group.c:286): Got 'vg proxyusers' from Squid (length: 8192).
ERR

и все...

>   Кстати, у меня стоит пересобранный squid с файлами
>   wbcommon от samba-2.2.8 (в squid были свои). Я об этом
>   писал сюда и в BTS. Если не получится, могу прислать патч.

Можно поподробнее? Я самбу пересобирал на предмет добавления опции 
--with-winbind-auth-challenge
А сквид тоже надо как-то хитро пересобирать?


-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Grigory Batalov]

[-- Attachment #1: Type: text/plain, Size: 932 bytes --]

On Fri, 11 Jul 2003 09:53:18 +0400
BoBep <bobep@mail.ru> wrote:

> >   Кстати, у меня стоит пересобранный squid с файлами
> >   wbcommon от samba-2.2.8 (в squid были свои). Я об этом
> >   писал сюда и в BTS. Если не получится, могу прислать патч.
> 
> Можно поподробнее? Я самбу пересобирал на предмет добавления опции 
> --with-winbind-auth-challenge
> А сквид тоже надо как-то хитро пересобирать?

  В дереве squid в поддиректории helpers лежат исходники
  wb_auth, wb_group и wb_ntlmauth. Моё мнение - они используют
  некоторые файлы (wb_common.c и др.) от samba, причём
  файлы сильно устаревшие. Чтобы заставить squid работать
  с winbind нужно заменить эти файлы аналогичными из исходников
  запущеной samba (2.2.8 или samba3).

  Сейчас я использую samba-2.2.8, однако и для samba3 делал
  патчик. Посылаю оба, а также изменения squid.spec для
  samba-2.2.8.

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

[-- Attachment #2: squid.spec.diff --]
[-- Type: text/plain, Size: 1034 bytes --]

--- squid.spec	2002-11-28 14:45:39 +0300
+++ squid.spec.my	2003-05-06 09:34:44 +0400
@@ -1,6 +1,6 @@
 Name: squid
 Version: 2.5.STABLE1
-Release: alt5
+Release: alt5bga
 
 Summary: The Squid proxy caching server
 License: GPL
@@ -47,6 +47,9 @@
 Patch32: %name-2.5.STABLE1-uninstall.patch
 Patch33: %name-2.5.STABLE1-wccp.patch
 
+# common winbind files from samba-2.2.8-alt2
+Patch35: %name-2.5.STABLE1-alt-samba228_helpers.diff.gz
+
 PreReq: chkconfig shadow-utils fileutils findutils
 Obsoletes: %name-novm
 
@@ -112,6 +115,8 @@
 %patch32 -p1
 %patch33 -p1
 
+%patch35 -p1
+
 %build
 %set_autoconf_version 2.5
 
@@ -270,6 +275,10 @@
 %attr(4710,root,%name) %_libdir/%name/pinger
 
 %changelog
+* Tue May 06 2003 Grigory Batalov <bga@altlinux.ru> 2.5.STABLE1-alt5bga
+- added winbind commons from samba-2.2.8-alt2
+- rebuilt under pure Master 2.2 + updates
+
 * Thu Nov 28 2002 Konstantin Timoshenko <kt@altlinux.ru> 2.5.STABLE1-alt5
 - fix build support for the authentication schemes
 - Official bugfixes from www.%name-cache.org.

[-- Attachment #3: squid-2.5.STABLE1-alt-samba228_helpers.diff.gz --]
[-- Type: application/x-gzip, Size: 5472 bytes --]

[-- Attachment #4: squid-2.5.STABLE1-alt-samba3_helpers.diff.gz --]
[-- Type: application/x-gzip, Size: 7544 bytes --]

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Alexander Bokovoy]

On Fri, Jul 11, 2003 at 10:33:27AM +0400, Grigory Batalov wrote:
> On Fri, 11 Jul 2003 09:53:18 +0400
> BoBep <bobep@mail.ru> wrote:
> 
> > >   Кстати, у меня стоит пересобранный squid с файлами
> > >   wbcommon от samba-2.2.8 (в squid были свои). Я об этом
> > >   писал сюда и в BTS. Если не получится, могу прислать патч.
> > 
> > Можно поподробнее? Я самбу пересобирал на предмет добавления опции 
> > --with-winbind-auth-challenge
> > А сквид тоже надо как-то хитро пересобирать?
> 
>   В дереве squid в поддиректории helpers лежат исходники
>   wb_auth, wb_group и wb_ntlmauth. Моё мнение - они используют
>   некоторые файлы (wb_common.c и др.) от samba, причём
>   файлы сильно устаревшие. Чтобы заставить squid работать
>   с winbind нужно заменить эти файлы аналогичными из исходников
>   запущеной samba (2.2.8 или samba3).
> 
>   Сейчас я использую samba-2.2.8, однако и для samba3 делал
>   патчик. Посылаю оба, а также изменения squid.spec для
>   samba-2.2.8.
Напомню еще раз: не нужно использовать эти методы. Для коммуникации Самбы3
и Сквида необходимо использовать утилиту ntlm_auth, это рекомендуемый и
Samba Team, и Squid developers путь.

-- 
/ Alexander Bokovoy
---
Since we're all here, we must not be all there.
		-- Bob "Mountain" Beck

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Grigory Batalov]

On Fri, 11 Jul 2003 11:48:16 +0300
Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:

> >   Сейчас я использую samba-2.2.8, однако и для samba3 делал
> >   патчик. Посылаю оба, а также изменения squid.spec для
> >   samba-2.2.8.

> Напомню еще раз: не нужно использовать эти методы. Для коммуникации Самбы3
> и Сквида необходимо использовать утилиту ntlm_auth, это рекомендуемый и
> Samba Team, и Squid developers путь.

  Но к samba-2.2.8 это не относится?

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[Alexander Bokovoy]

On Fri, Jul 11, 2003 at 01:45:05PM +0400, Grigory Batalov wrote:
> On Fri, 11 Jul 2003 11:48:16 +0300
> Alexander Bokovoy <a.bokovoy@sam-solutions.net> wrote:
> 
> > >   Сейчас я использую samba-2.2.8, однако и для samba3 делал
> > >   патчик. Посылаю оба, а также изменения squid.spec для
> > >   samba-2.2.8.
> 
> > Напомню еще раз: не нужно использовать эти методы. Для коммуникации Самбы3
> > и Сквида необходимо использовать утилиту ntlm_auth, это рекомендуемый и
> > Samba Team, и Squid developers путь.
> 
>   Но к samba-2.2.8 это не относится?
Нет. Но если все пойдет хорошо, в Сизифе не будет Самба 2.2 уже в этом
месяце -- уедет в отдельный репозитарий. Чтобы не мешать приходу 3.0.
-- 
/ Alexander Bokovoy
---
Scientists are people who build the Brooklyn Bridge and then buy it.
		-- William Buckley

Re: [Comm] Squid: ntlm-авторизация - проблемы с wbinfo

[BoBep]

On Fri, 11 Jul 2003 10:33:27 +0400
Grigory Batalov <grisxa@mail.ru> wrote:

 
>   Сейчас я использую samba-2.2.8, однако и для samba3 делал
>   патчик. Посылаю оба, а также изменения squid.spec для
>   samba-2.2.8.
Спасибо, 
однако не помогло :(
все пересобрал с вашими патчами - та же беда.
Может, в настройках самбы (касательно winbind) нужно что-нибудь
поправить? Вот мои настройки:

  winbind uid = 10000-20000                                             
  winbind gid = 10000-20000                                             
  winbind separator = +                                                    winbind use default domain = True                                        template homedir = /home/winnt/%D/%U                                     template shell = /bin/bash
  password server = * 
  encrypt passwords = yes


-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid: ntlm-авторизация

[Grigory Batalov]

On Fri, 11 Jul 2003 15:19:19 +0400
BoBep <bobep@mail.ru> wrote:

>   winbind separator = +

  У меня эта строка закоментирована, а по умолчанию - '\'.

  Проверьте:

$ wbinfo -p
'ping' to winbindd succeeded

$ wbinfo -a login%password
plaintext password authentication succeeded
challenge/response password authentication succeeded

$ /usr/lib/squid/wb_auth -d
/wb_auth[17481](wb_basic_auth.c:168): basic winbindd auth helper build May  6 2003, 09:37:26 starting up...
login password
/wb_auth[17481](wb_basic_auth.c:129): Got 'login password' from squid (length: 14).
/wb_auth[17481](wb_basic_auth.c:55): winbindd result: 1
/wb_auth[17481](wb_basic_auth.c:58): sending 'OK' to squid
OK

$ /usr/lib/squid/wb_group -d
/wb_group[17484](wb_check_group.c:267): External ACL winbindd group helper build May  6 2003, 09:37:32 starting up...
login int_user
/wb_group[17484](wb_check_group.c:286): Got 'login int_user' from Squid (length: 8192).
/wb_group[17484](wb_check_group.c:188): SID: S-1-5-21-884702938-386427366-1850952788-513
/wb_group[17484](wb_check_group.c:154): Windows group: Domain Users, Squid group: int_user
/wb_group[17484](wb_check_group.c:188): SID: S-1-5-21-884702938-386427366-1850952788-1230
/wb_group[17484](wb_check_group.c:154): Windows group: news_user, Squid group: int_user
/wb_group[17484](wb_check_group.c:188): SID: S-1-5-21-884702938-386427366-1850952788-1231
/wb_group[17484](wb_check_group.c:154): Windows group: icq_user, Squid group: int_user
/wb_group[17484](wb_check_group.c:188): SID: S-1-5-21-884702938-386427366-1850952788-1385
/wb_group[17484](wb_check_group.c:154): Windows group: int_user, Squid group: int_user
OK

На каком этапе ошибка?

  (Если Вам не нужна plain-text-авторизация через squid,
   то действительно можно воспользоваться ntlm_auth.
   Plain-text через ntlm_auth, кажется, сделан только в samba3.)
  
-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [Comm] Squid: ntlm-авторизация

[BoBep]

On Fri, 11 Jul 2003 16:00:47 +0400
Grigory Batalov <grisxa@mail.ru> wrote:


 
>   Проверьте:
> 
> $ wbinfo -p
> 'ping' to winbindd succeeded
все так

> 
> $ wbinfo -a login%password
> plaintext password authentication succeeded
> challenge/response password authentication succeeded
аналогично

> $ /usr/lib/squid/wb_auth -d
> /wb_auth[17481](wb_basic_auth.c:168): basic winbindd auth helper build May  6 2003, 09:37:26 starting up...
> login password
> /wb_auth[17481](wb_basic_auth.c:129): Got 'login password' from squid (length: 14).
> /wb_auth[17481](wb_basic_auth.c:55): winbindd result: 1
> /wb_auth[17481](wb_basic_auth.c:58): sending 'OK' to squid
> OK
и здесь все работает,

а вот что выдает wb_group:

$ /usr/lib/squid/wb_group -d
/wb_group[4648](wb_check_group.c:266): External ACL winbindd group helper build Jul 11 2003, 14:37:37 starting up...
vg proxyusers
/wb_group[4648](wb_check_group.c:286): Got 'vg proxyusers' from Squid (length: 8192).
ERR

Может, я пересобрал как-то не так?
Опишу процесс: 
1) в папку с исходниками ~/RPM/SOURCES положил ваш патч  squid-2.5.STABLE1-alt-samba228_helpers.diff.gz
2) в папку ~/RPM/SPECS положил ваш squid.spec.diff
3) сделал patch squid.spec squid.spec.diff
4) пересобрал
5) установил получившийся пакет squid-2.5.STABLE1-alt5bga.i586.rpm
Я ничего не упустил?

-- 

WBR, Glyadelov Vladimir

Re: [Comm] Squid: ntlm-авторизация

[Grigory Batalov]

On Mon, 14 Jul 2003 08:59:19 +0400
BoBep <bobep@mail.ru> wrote:

> > $ /usr/lib/squid/wb_auth -d
> > /wb_auth[17481](wb_basic_auth.c:168): basic winbindd auth helper build May  6 2003, 09:37:26 starting up...
> > login password
> > /wb_auth[17481](wb_basic_auth.c:129): Got 'login password' from squid (length: 14).
> > /wb_auth[17481](wb_basic_auth.c:55): winbindd result: 1
> > /wb_auth[17481](wb_basic_auth.c:58): sending 'OK' to squid
> > OK
> и здесь все работает,
> 
> а вот что выдает wb_group:
> 
> $ /usr/lib/squid/wb_group -d
> /wb_group[4648](wb_check_group.c:266): External ACL winbindd group helper build Jul 11 2003, 14:37:37 starting up...
> vg proxyusers
> /wb_group[4648](wb_check_group.c:286): Got 'vg proxyusers' from Squid (length: 8192).
> ERR

  Пришлите отладку winbind:

$ sudo service winbind stop
$ sudo winbindd -i -d 3
  и в другой консоли /usr/lib/squid/wb_group -d и 'vg proxyusers'.
  
> Может, я пересобрал как-то не так?
  <skip>
  Вроде всё верно.

  Какой всё-таки у Вас winbind separator ?

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [Comm] Squid: ntlm-авторизация

[BoBep]

[-- Attachment #1: Type: text/plain, Size: 415 bytes --]

On Mon, 14 Jul 2003 09:35:07 +0400
Grigory Batalov <grisxa@mail.ru> wrote:


>   Пришлите отладку winbind:
> 
> $ sudo service winbind stop
> $ sudo winbindd -i -d 3
>   и в другой консоли /usr/lib/squid/wb_group -d и 'vg proxyusers'.
в аттаче winbind.log


>   Какой всё-таки у Вас winbind separator ?
Я пробовал и '+' оставлять, и по умолчанию '\' - никак не влияет на результат.


-- 

WBR, Glyadelov Vladimir



[-- Attachment #2: wibindd.log --]
[-- Type: application/octet-stream, Size: 1980 bytes --]

Re: [Comm] Squid: ntlm-авторизация

[Grigory Batalov]

On Mon, 14 Jul 2003 10:20:49 +0400
BoBep <bobep@mail.ru> wrote:

> > $ sudo service winbind stop
> > $ sudo winbindd -i -d 3
> >   и в другой консоли /usr/lib/squid/wb_group -d и 'vg proxyusers'.

> в аттаче winbind.log

> cm_get_dc_name: Returning DC MASTER (172.16.1.250) for domain LCOM
> IPC$ connections done anonymously
> Connecting to host=MASTER share=IPC$
> Connecting to 172.16.1.250 at port 445
> user 'vg' does not exist

    Предполагаю, что у Вас в качестве PDC - Win2000, т.к.
  у меня winbind подсоединяется по 139-му порту (и у меня
  WinNT 4.0). Возможно, тут есть какие-то тонкости.
    Если пользователь 'vg' всё-таки существует,
  то увеличьте debug level у 'winbindd -i -d 3'. Вдруг
  появится что-то более определённое? Ну и eventlog
  на MASTER-e тоже проверьте.

  Если ничего не получится, то попробуйте samba3 и ntlm_auth.

-- 
Григорий Баталов,
группа техподдержки
ОАО "Ковдорский ГОК"

Re: [Comm] Squid: ntlm-авторизация

[BoBep]

On Mon, 14 Jul 2003 10:57:12 +0400
Grigory Batalov <grisxa@mail.ru> wrote:


> 
>     Предполагаю, что у Вас в качестве PDC - Win2000, т.к.
>   у меня winbind подсоединяется по 139-му порту (и у меня
>   WinNT 4.0). Возможно, тут есть какие-то тонкости.
>     Если пользователь 'vg' всё-таки существует,
>   то увеличьте debug level у 'winbindd -i -d 3'. Вдруг
>   появится что-то более определённое? Ну и eventlog
>   на MASTER-e тоже проверьте.
Да, у меня W2K-server как PDC. Может, действительно, для 2000й какие-то свои прибамбасы? В евент-логах на PDC ничего, относящегося к делу, нет. Пользователь, разумеется, есть, ведь его без проверки на группу сквид пускает через ntlm. Пробовал более подробный debug, выдает:

002c status: NT_STATUS_ACCESS_DENIED
user 'vg' does not exist

Видимо, что-то с правами надо подкрутить. В любом случае, спасибо за помощь.


>   Если ничего не получится, то попробуйте samba3 и ntlm_auth.
Буду пробовать

-- 

WBR, Glyadelov Vladimir