* [Comm] Squid+Ad проблема
@ 2008-08-14 13:27 Половников Денис
2008-08-14 13:43 ` Roman V. Tutov
` (2 more replies)
0 siblings, 3 replies; 8+ messages in thread
From: Половников Денис @ 2008-08-14 13:27 UTC (permalink / raw)
To: ALT Linux Community general discussions
Здравствуйте, ALT.
Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
win2003. Сквид работает в режиме траспоренд прокси. В общем много
страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
его в группу Internet в AD в аклах написано что ему доступ разрешон. В
итоге при конекте получаем акцес денайт от сквида.
Из командной строки хелпер проходит авторизацию отлично.
Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
сайтов в инете везде написано что все должно быть ок.
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 10
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 # https
acl SSL_ports port 563 # snews
acl Rsync_ports port 873
acl Jabber_ports port 5222 5223
acl ICQ_ports port 5190 # ICQ
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 563 # snews
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl CONNECT method CONNECT
external_acl_type nt_group %LOGIN /usr/lib/squid/wbinfo_group.pl
# only ICQ
acl inet_icq external nt_group icqinternet
# full inet
acl inet_full external nt_group internet
# Avtorizaciya
acl MYDOMAIN proxy_auth REQUIRED
acl bad_url url_regex "/etc/squid/db/deny_url"
acl deny_domains dstdomain "/etc/squid/db/deny_domains"
acl bad_networks dst "/etc/squid/db/bad_networks"
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
http_access allow MYDOMAIN
http_access deny bad_url
http_access allow inet_icq ICQ_ports
http_access deny bad_networks
http_access deny deny_domains
http_access allow localhost
http_access allow inet_full
http_access deny all
--
С уважением,
Половников Денис mailto:itech@avtoprognoz.ru
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 13:27 [Comm] Squid+Ad проблема Половников Денис
@ 2008-08-14 13:43 ` Roman V. Tutov
2008-08-14 14:00 ` Алексей Шенцев
2008-08-14 14:00 ` Половников Денис
2008-08-14 14:06 ` Alexey I. Froloff
2 siblings, 1 reply; 8+ messages in thread
From: Roman V. Tutov @ 2008-08-14 13:43 UTC (permalink / raw)
To: Половников
Денис,
ALT Linux Community general discussions
В сообщении от Thursday 14 August 2008 17:27:25 Половников Денис написал(а):
> Здравствуйте, ALT.
>
> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси. В общем много
> страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
> его в группу Internet в AD в аклах написано что ему доступ разрешон. В
> итоге при конекте получаем акцес денайт от сквида.
> Из командной строки хелпер проходит авторизацию отлично.
>
> Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
> сайтов в инете везде написано что все должно быть ок.
>
а разве использование режима transparent не исключает возможность
использовать ACL ?
--
Тутов Роман Викторович
Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 13:43 ` Roman V. Tutov
@ 2008-08-14 14:00 ` Алексей Шенцев
0 siblings, 0 replies; 8+ messages in thread
From: Алексей Шенцев @ 2008-08-14 14:00 UTC (permalink / raw)
To: ALT Linux Community general discussions
В сообщении от Thursday 14 August 2008 17:43:20 Roman V. Tutov написал(а):
> а разве использование режима transparent не исключает возможность
> использовать ACL ?
Исключает.
--
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 13:27 [Comm] Squid+Ad проблема Половников Денис
2008-08-14 13:43 ` Roman V. Tutov
@ 2008-08-14 14:00 ` Половников Денис
2008-08-14 14:02 ` Алексей Шенцев
2008-08-14 14:06 ` Alexey I. Froloff
2 siblings, 1 reply; 8+ messages in thread
From: Половников Денис @ 2008-08-14 14:00 UTC (permalink / raw)
To: ALT Linux Community general discussions
Здравствуйте,
В общем как удалось выяснить методом тыка. Авторизация не работает в
режиме транспорент. Аклы ограничивающие доступ к сайтам работают
нормально в этом режиме.
Но когда у клиента руками прописываеш проксю то
пускает всех кто в домене невзирая на аклы групп.
Вы писали 14 августа 2008 г., 17:27:25:
> Здравствуйте, ALT.
> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси. В общем много
> страного и непонятного творится с этим сквидом. Берем юзверя и пихаем
> его в группу Internet в AD в аклах написано что ему доступ разрешон. В
> итоге при конекте получаем акцес денайт от сквида.
> Из командной строки хелпер проходит авторизацию отлично.
> Ниже приведен конфиг. ПОмогите а то уже голова пухнет перечитал кучу
> сайтов в инете везде написано что все должно быть ок.
> auth_param ntlm program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-ntlmssp
> auth_param ntlm children 10
> auth_param basic program /usr/bin/ntlm_auth
> --helper-protocol=squid-2.5-basic
> auth_param basic children 5
> auth_param basic realm Squid proxy-caching web server
> auth_param basic credentialsttl 2 hours
> auth_param basic casesensitive off
> acl all src 0.0.0.0/0.0.0.0
> acl manager proto cache_object
> acl localhost src 127.0.0.1/255.255.255.255
> acl to_localhost dst 127.0.0.0/8
> acl SSL_ports port 443 # https
> acl SSL_ports port 563 # snews
> acl Rsync_ports port 873
> acl Jabber_ports port 5222 5223
> acl ICQ_ports port 5190 # ICQ
> acl Safe_ports port 80 # http
> acl Safe_ports port 21 # ftp
> acl Safe_ports port 443 # https
> acl Safe_ports port 70 # gopher
> acl Safe_ports port 210 # wais
> acl Safe_ports port 1025-65535 # unregistered ports
> acl Safe_ports port 280 # http-mgmt
> acl Safe_ports port 488 # gss-http
> acl Safe_ports port 563 # snews
> acl Safe_ports port 591 # filemaker
> acl Safe_ports port 777 # multiling http
> acl Safe_ports port 631 # cups
> acl Safe_ports port 873 # rsync
> acl Safe_ports port 901 # SWAT
> acl CONNECT method CONNECT
> external_acl_type nt_group %LOGIN /usr/lib/squid/wbinfo_group.pl
>
> # only ICQ
> acl inet_icq external nt_group icqinternet
> # full inet
> acl inet_full external nt_group internet
> # Avtorizaciya
> acl MYDOMAIN proxy_auth REQUIRED
>
> acl bad_url url_regex "/etc/squid/db/deny_url"
> acl deny_domains dstdomain "/etc/squid/db/deny_domains"
> acl bad_networks dst "/etc/squid/db/bad_networks"
> http_access deny manager
> http_access deny !Safe_ports
> http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
> http_access allow MYDOMAIN
> http_access deny bad_url
> http_access allow inet_icq ICQ_ports
> http_access deny bad_networks
> http_access deny deny_domains
> http_access allow localhost
> http_access allow inet_full
> http_access deny all
--
С уважением,
Половников Денис mailto:itech@avtoprognoz.ru
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 14:00 ` Половников Денис
@ 2008-08-14 14:02 ` Алексей Шенцев
0 siblings, 0 replies; 8+ messages in thread
From: Алексей Шенцев @ 2008-08-14 14:02 UTC (permalink / raw)
To: Половников
Денис,
ALT Linux Community general discussions
В сообщении от Thursday 14 August 2008 18:00:31 Половников Денис написал(а):
> В общем как удалось выяснить методом тыка. Авторизация не работает в
> режиме транспорент. Аклы ограничивающие доступ к сайтам работают
> нормально в этом режиме.
> Но когда у клиента руками прописываеш проксю то
> пускает всех кто в домене невзирая на аклы групп.
Естественно - у вас же прозрачный доступ.
--
С уважением Шенцев Алексей Владимирович.
E-mail: ashen@nsrz.ru
XMPP: ashen@altlinux.org, AlexShen@jabber.ru
ICQ: 271053845
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 13:27 [Comm] Squid+Ad проблема Половников Денис
2008-08-14 13:43 ` Roman V. Tutov
2008-08-14 14:00 ` Половников Денис
@ 2008-08-14 14:06 ` Alexey I. Froloff
2008-08-15 6:44 ` Половников Денис
2 siblings, 1 reply; 8+ messages in thread
From: Alexey I. Froloff @ 2008-08-14 14:06 UTC (permalink / raw)
To: Mailing list for ALT Linux users
[-- Attachment #1: Type: text/plain, Size: 230 bytes --]
* Половников Денис <itech@> [080814 17:34]:
> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> win2003. Сквид работает в режиме траспоренд прокси.
Так не бывает. В принципе.
--
Regards,
Sir Raorn.
[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-14 14:06 ` Alexey I. Froloff
@ 2008-08-15 6:44 ` Половников Денис
2008-08-15 8:18 ` Alexey I. Froloff
0 siblings, 1 reply; 8+ messages in thread
From: Половников Денис @ 2008-08-15 6:44 UTC (permalink / raw)
To: ALT Linux Community general discussions
Здравствуйте, Alexey.
Вы писали 14 августа 2008 г., 18:06:14:
> * Половников Денис <itech@> [080814 17:34]:
>> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
>> win2003. Сквид работает в режиме траспоренд прокси.
> Так не бывает. В принципе.
Спасибо всем что просветили.
--
С уважением,
Половников Денис mailto:itech@avtoprognoz.ru
^ permalink raw reply [flat|nested] 8+ messages in thread
* Re: [Comm] Squid+Ad проблема
2008-08-15 6:44 ` Половников Денис
@ 2008-08-15 8:18 ` Alexey I. Froloff
0 siblings, 0 replies; 8+ messages in thread
From: Alexey I. Froloff @ 2008-08-15 8:18 UTC (permalink / raw)
To: Mailing list for ALT Linux users
[-- Attachment #1: Type: text/plain, Size: 429 bytes --]
* Половников Денис <itech@> [080815 10:54]:
> >> Подскажите в чем может быть трабла с ntlm_auth авторизацией в домене
> >> win2003. Сквид работает в режиме траспоренд прокси.
> > Так не бывает. В принципе.
> Спасибо всем что просветили.
Это написано в любой доке по squid. Например тут -
http://wiki.squid-cache.org/SquidFaq/InterceptionProxy#head-e56904dd4dfe0e21e5c2903473c473d401533ac7
--
Regards,
Sir Raorn.
[-- Attachment #2: Digital signature --]
[-- Type: application/pgp-signature, Size: 189 bytes --]
^ permalink raw reply [flat|nested] 8+ messages in thread
end of thread, other threads:[~2008-08-15 8:18 UTC | newest]
Thread overview: 8+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2008-08-14 13:27 [Comm] Squid+Ad проблема Половников Денис
2008-08-14 13:43 ` Roman V. Tutov
2008-08-14 14:00 ` Алексей Шенцев
2008-08-14 14:00 ` Половников Денис
2008-08-14 14:02 ` Алексей Шенцев
2008-08-14 14:06 ` Alexey I. Froloff
2008-08-15 6:44 ` Половников Денис
2008-08-15 8:18 ` Alexey I. Froloff
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git