[Comm] Squid auth

[Comm] Squid auth

[Shawkat Nizamov]

Кто-нибудь организовывал SQUID с аутентификацией пользователя ?

Существующие в инете доки ориентированы не на TCB.  

Re: [Comm] Squid auth

[Shawkat Nizamov]

> Кто-нибудь организовывал SQUID с аутентификацией пользователя ?
>
> Существующие в инете доки ориентированы не на TCB.

Сделал таки по pam. Натолкнулся на пару неприятных моментов. 
Кому надо - могу написать.

Re: [Comm] Squid auth

[Dmitriy Shcherbakov]

Shawkat Nizamov пишет:

>>Кто-нибудь организовывал SQUID с аутентификацией пользователя ?
>>
>>Существующие в инете доки ориентированы не на TCB.
>>    
>>
>
>Сделал таки по pam. Натолкнулся на пару неприятных моментов.
>Кому надо - могу написать.
>  
>
Пишите! Лично мне - интересно.

С уважением, Дмитрий

Re: [Comm] Squid auth

[Shawkat Nizamov]

>
> Пишите! Лично мне - интересно.
>

Ну в общем потребовалось авторизовать пользователей на сквиде. 
Пользователи системные.  Для этого лучше всего использовать pam_auth. 
ncsa_auth - не годится - он по /etc/shadow работает - а он у нас пустой ;-)

(Если делать по ncsa_auth, то ему можно подсунуть файл паролей, который в свою 
очередь легко генерируется htpasswd из состава апача.)

Первый трабл - pam_auth должен быть suid. Иначе авторизация не пройдет. 

Второй трабл - нету файла /etc/pam.d/squid

#%PAM-1.0
auth    required        /lib/security/pam_stack.so service=system-auth
account required        /lib/security/pam_stack.so service=system-auth

Дальше идет все по накатанной - настройка сквида на авторизацию 

auth_param basic program /usr/lib/squid/pam_auth

заведение пользователей - 

acl users proxy_auth REQUIRED

и соответственно 

http_access allow users

Еще можно сквид настроить чтоб один пользователь мог только с одного любого 
компа в интернет выйти - но как это сделать - до меня еще не дошло %*) 

Re: [Comm] Squid auth

[Alexey I. Froloff]

[-- Attachment #1: Type: text/plain, Size: 652 bytes --]

* Shawkat Nizamov <shawkat@samitc.uzsci.net> [031029 10:49]:
> Первый трабл - pam_auth должен быть suid. Иначе авторизация не пройдет. 
А не sgid auth?

> Второй трабл - нету файла /etc/pam.d/squid

> #%PAM-1.0
> auth    required        /lib/security/pam_stack.so service=system-auth
> account required        /lib/security/pam_stack.so service=system-auth

auth    required        pam_userpass.so
auth    include         system-auth-use_first_pass
account include         system-auth

По моему так...

-- 
Regards, Sir Raorn.
-------------------
Иначе будет как всегда - кто-то один сделает -> все согласятся и окажется
криво ;-(
		-- rider in devel@

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Squid auth

[Shawkat Nizamov]

>
> По моему так...

Вполне возможно что и по-Вашему варианту. 

[Comm] Re: Squid auth

[Michael Shigorin]

[-- Attachment #1: Type: text/plain, Size: 667 bytes --]

On Wed, Oct 29, 2003 at 11:13:34AM +0300, Alexey I. Froloff wrote:
> > Первый трабл - pam_auth должен быть suid. Иначе авторизация не пройдет. 
> А не sgid auth?
> > Второй трабл - нету файла /etc/pam.d/squid
> > #%PAM-1.0
> > auth    required        /lib/security/pam_stack.so service=system-auth
> > account required        /lib/security/pam_stack.so service=system-auth
> auth    required        pam_userpass.so
> auth    include         system-auth-use_first_pass
> account include         system-auth
> По моему так...

Народ -- а на atmsk и в bugzilla слабО? :-)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

[-- Attachment #2: Type: application/pgp-signature, Size: 189 bytes --]

Re: [Comm] Squid auth

[Borovoy M.]

Shawkat Nizamov пишет:

>>Пишите! Лично мне - интересно.
>>
> 
> 
> Ну в общем потребовалось авторизовать пользователей на сквиде. 
> Пользователи системные.  Для этого лучше всего использовать pam_auth. 
> ncsa_auth - не годится - он по /etc/shadow работает - а он у нас пустой ;-)
> 
> (Если делать по ncsa_auth, то ему можно подсунуть файл паролей, который в свою 
> очередь легко генерируется htpasswd из состава апача.)
> 
> Первый трабл - pam_auth должен быть suid. Иначе авторизация не пройдет. 
> 
> Второй трабл - нету файла /etc/pam.d/squid
> 
> #%PAM-1.0
> auth    required        /lib/security/pam_stack.so service=system-auth
> account required        /lib/security/pam_stack.so service=system-auth
> 
> Дальше идет все по накатанной - настройка сквида на авторизацию 
> 
> auth_param basic program /usr/lib/squid/pam_auth
> 
> заведение пользователей - 
> 
> acl users proxy_auth REQUIRED
> 
> и соответственно 
> 
> http_access allow users
> 
> Еще можно сквид настроить чтоб один пользователь мог только с одного любого 
> компа в интернет выйти - но как это сделать - до меня еще не дошло %*) 
Попробуй прописать в /etc/pam.d/squid строку
   session    required     pam_limits.so
и в /etc/security/limits.conf file строку
   @squidusers        -       maxlogins       1
где squidusers - группа, в которую включены пользователи squid.

-- 
С уважением, Боровой Михаил