[Comm] squid + samba . очень хочеться ntlm у пользователей .

[Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Есть отработанные конфиги от мастера 2.4 где эта связка давно и успешно работает . Настраиваю новый
сервер на Server 4 с последними апдейтами и столкнулся с проблемой . сквид не может обратиться к файлу пайпа
и пишет в лог следующее

  Login for user [ASTON]\[Tutov_R]@[OF120IT21] failed due to [winbind client not authorized to use winbindd_pam_auth_
crap. Ensure permissions on /var/lib/samba/winbindd_privileged are set correctly.]

на мастере я решал это включением сквида в uруппу winbind
сейчас это почему-то не помогает . Как красиво обойди эту проблему ?

ЗЫ если трогать права на папку  /var/lib/samba/winbindd_privileged то
winbind отказываеться вообще запускаться :(

-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Alexey Borovskoy]

* Понедельник 09 июня 2008 tutov@aston.ru

> Есть отработанные конфиги от мастера 2.4 где эта связка давно
> и успешно работает . Настраиваю новый сервер на Server 4 с
> последними апдейтами и столкнулся с проблемой . сквид не может
> обратиться к файлу пайпа и пишет в лог следующее
>
>   Login for user [ASTON]\[Tutov_R]@[OF120IT21] failed due to
> [winbind client not authorized to use winbindd_pam_auth_ crap.
> Ensure permissions on /var/lib/samba/winbindd_privileged are
> set correctly.]
>
> на мастере я решал это включением сквида в uруппу winbind
> сейчас это почему-то не помогает . Как красиво обойди эту
> проблему ?
>
> ЗЫ если трогать права на папку 
> /var/lib/samba/winbindd_privileged то winbind отказываеться
> вообще запускаться :(

Я с этим долго воевал. Не победил. Отказался от ntlm.

-- 
Алексей.
GPG key fingerprint
949B BC0E 2C44 7528 4F63  2753 E37A 9E3F 11F3 BDE1

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Alexey Borovskoy пишет:

> Я с этим долго воевал. Не победил. Отказался от ntlm.
> 
Это не выход . очень нужно !!! :(

-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Eugene Ostapets]

9 июня 2008 г. 11:56 пользователь tutov@aston.ru <tutov aston.ru> написал:
> Есть отработанные конфиги от мастера 2.4 где эта связка давно и успешно
> работает . Настраиваю новый
> сервер на Server 4 с последними апдейтами и столкнулся с проблемой . сквид
> не может обратиться к файлу пайпа
> и пишет в лог следующее
А какой хелпер используется в сквиде? Родной от самбы или какой-то левый?

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Eugene Ostapets пишет:
> 9 июня 2008 г. 11:56 пользователь tutov@aston.ru <tutov aston.ru> написал:
>> Есть отработанные конфиги от мастера 2.4 где эта связка давно и успешно
>> работает . Настраиваю новый
>> сервер на Server 4 с последними апдейтами и столкнулся с проблемой . сквид
>> не может обратиться к файлу пайпа
>> и пишет в лог следующее
> А какой хелпер используется в сквиде? Родной от самбы или какой-то левый?
> 
из конфига сквида .
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of="aston+Inet_Al
auth_param ntlm children 5
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 2 minutes
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic --require-membership-of="ASTON+Inet_All
auth_param basic children 5

external_acl_type domain_group ttl=900 concurrency=10 %LOGIN /usr/lib/squid/wbinfo_group.sh

Я чест слово незнаю этот хелпер идет со сквидом или с самбой .
пути дефолтные

-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

tutov@aston.ru пишет:
>>> работает . Настраиваю новый
>>> сервер на Server 4 с последними апдейтами и столкнулся с проблемой . 
>>> сквид
>>> не может обратиться к файлу пайпа
>>> и пишет в лог следующее
>> А какой хелпер используется в сквиде? Родной от самбы или какой-то левый?

Дал на папку /var/lib/samba/winbindd_privileged

[root@dev samba]# ls -dl /var/lib/samba/winbindd_privileged
drwxr-x--- 2 root squid 72 Jun  9 17:22 /var/lib/samba/winbindd_privileged

т.е сейчас теоретически сквид может лазить в этот каталог .
но в логе скида уже другой облом ..

кто-нить расшифруйте мне что ему не нравится ?


[2008/06/09 17:23:30, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
   Got NTLMSSP neg_flags=0xa208b207
[2008/06/09 17:23:36, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
   Got user=[Tutov_R] domain=[ASTON] workstation=[OF120IT21] len1=24 len2=24
[2008/06/09 17:23:37, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
   NTLMSSP Sign/Seal - Initialising with flags:
[2008/06/09 17:23:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
   Got NTLMSSP neg_flags=0xa2088205
Could not lookup name ASTON+tutov_r ASTON+Inet_Allow_Everywhere
Could not convert sid  to gid
Could not get groups for user 0
2008/06/09 17:23:40| helperHandleRead: unexpected reply on channel -1 from domain_group #1 'ERR'


-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Serge]

> [2008/06/09 17:23:30, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
>    Got NTLMSSP neg_flags=0xa208b207
> [2008/06/09 17:23:36, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
>    Got user=[Tutov_R] domain=[ASTON] workstation=[OF120IT21] len1=24
> len2=24 [2008/06/09 17:23:37, 3]
> libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338) NTLMSSP Sign/Seal -
> Initialising with flags:
> [2008/06/09 17:23:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
>    Got NTLMSSP neg_flags=0xa2088205
> Could not lookup name ASTON+tutov_r ASTON+Inet_Allow_Everywhere
> Could not convert sid  to gid
> Could not get groups for user 0
> 2008/06/09 17:23:40| helperHandleRead: unexpected reply on channel -1 from
> domain_group #1 'ERR'
попробуйте вначале настроить без domain_group

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Eugene Ostapets]

9 июня 2008 г. 13:34 пользователь tutov aston.ru <tutov aston.ru> написал:
> Eugene Ostapets пишет:
> --helper-protocol=squid-2.5-basic --require-membership-of="ASTON+Inet_All
> auth_param basic children 5
Сепаратор точно "+" ?
>
> external_acl_type domain_group ttl=900 concurrency=10 %LOGIN
> /usr/lib/squid/wbinfo_group.sh
Вот это убери для начала
>
> Я чест слово незнаю этот хелпер идет со сквидом или с самбой .
> пути дефолтные


-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Eugene Ostapets пишет:
> 9 июня 2008 г. 13:34 пользователь tutov aston.ru <tutov aston.ru> написал:
>> Eugene Ostapets пишет:
>> --helper-protocol=squid-2.5-basic --require-membership-of="ASTON+Inet_All
>> auth_param basic children 5
> Сепаратор точно "+" ?
точно . с данних времен тянется .
>> external_acl_type domain_group ttl=900 concurrency=10 %LOGIN
>> /usr/lib/squid/wbinfo_group.sh
> Вот это убери для начала
убрал . перписал конфиг сквида без групп .
в логах squid (cache.log )теперь такое

[2008/06/11 13:36:20, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
   Got NTLMSSP neg_flags=0xa208b207
[2008/06/11 13:36:20, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
   Got user=[Tutov_R] domain=[ASTON] workstation=[OF120IT21] len1=24 len2=24
[2008/06/11 13:36:21, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
   NTLMSSP Sign/Seal - Initialising with flags:
[2008/06/11 13:36:21, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
   Got NTLMSSP neg_flags=0xa2088205

Совершенно не понятно что имеется ввиду , но авторизация NTLM таки не работает :(


-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Eugene Ostapets]

11 июня 2008 г. 8:44 пользователь tutov aston.ru <tutov aston.ru> написал:
> Eugene Ostapets пишет:
>
> Совершенно не понятно что имеется ввиду , но авторизация NTLM таки не
> работает :(
А wbinfo -a user%pasword точно работает?
можно попробовать еще запустить хелпер в режиме squid-2.5-basic и
втоптать ему имя и пароль, и посмотреть что он скажет в ответ... У
меня всегда все работало :)

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Eugene Ostapets пишет:
> 11 июня 2008 г. 8:44 пользователь tutov aston.ru <tutov aston.ru> написал:
>> Eugene Ostapets пишет:
>>
>> Совершенно не понятно что имеется ввиду , но авторизация NTLM таки не
>> работает :(
> А wbinfo -a user%pasword точно работает?
> можно попробовать еще запустить хелпер в режиме squid-2.5-basic и
> втоптать ему имя и пароль, и посмотреть что он скажет в ответ... У
> меня всегда все работало :)
> 
[root@dev samba]# wbinfo -a aston+test%test
plaintext password authentication succeeded
challenge/response password authentication succeeded

Видимо работает ?

-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Eugene Ostapets]

11 июня 2008 г. 10:29 пользователь tutov aston.ru <tutov aston.ru> написал:
> Eugene Ostapets пишет:
>>
>> 11 июня 2008 г. 8:44 пользователь tutov aston.ru <tutov aston.ru> написал:
>>>
>>> Eugene Ostapets пишет:
>>>
>>> Совершенно не понятно что имеется ввиду , но авторизация NTLM таки не
>>> работает :(
>>
>> А wbinfo -a user%pasword точно работает?
>> можно попробовать еще запустить хелпер в режиме squid-2.5-basic и
>> втоптать ему имя и пароль, и посмотреть что он скажет в ответ... У
>> меня всегда все работало :)
>>
> [root@dev samba]# wbinfo -a aston+test%test
> plaintext password authentication succeeded
> challenge/response password authentication succeeded
>
> Видимо работает ?
Да, значит осталось проверить ntlm_auth

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[tutov]

Eugene Ostapets пишет:
> 11 июня 2008 г. 10:29 пользователь tutov aston.ru <tutov aston.ru> написал:
>> Eugene Ostapets пишет:
>>> 11 июня 2008 г. 8:44 пользователь tutov aston.ru <tutov aston.ru> написал:
>>>> Eugene Ostapets пишет:
>>>>
>>>> Совершенно не понятно что имеется ввиду , но авторизация NTLM таки не
>>>> работает :(
>>> А wbinfo -a user%pasword точно работает?
>>> можно попробовать еще запустить хелпер в режиме squid-2.5-basic и
>>> втоптать ему имя и пароль, и посмотреть что он скажет в ответ... У
>>> меня всегда все работало :)
>>>
>> [root@dev samba]# wbinfo -a aston+test%test
>> plaintext password authentication succeeded
>> challenge/response password authentication succeeded
>>
>> Видимо работает ?
> Да, значит осталось проверить ntlm_auth
> 
а как его проверяют-то ?

-- 
Тутов Роман Викторович
ст.Системный администратор
ASTON Agro Industrial Company Group
Россия,344002, г.Ростов-на-Дону,Промзона "Заречная"
ул.1-я Луговая,3 тел.: (863 2) 999049
JID:tutov@jabber.aston.ru
mailto:tutov@aston.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Eugene Ostapets]

11 июня 2008 г. 11:12 пользователь tutov aston.ru <tutov aston.ru> написал:
>> Да, значит осталось проверить ntlm_auth
> а как его проверяют-то ?

Запускаешь /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
и вводишь user password (если склероз меня не обманывает, вечером могу
точнее посмотреть)


-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Anton Vinogradov]

http://bugzilla.altlinux.org/show_bug.cgi?id=11239
До сих пор актулально?

11.06.08, Eugene Ostapets<eostapets@gmail.com> написал(а):
> 11 июня 2008 г. 11:12 пользователь tutov aston.ru <tutov aston.ru> написал:
>>> Да, значит осталось проверить ntlm_auth
>> а как его проверяют-то ?
>
> Запускаешь /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
> и вводишь user password (если склероз меня не обманывает, вечером могу
> точнее посмотреть)
>
>
> --
> С уважением,
> Евгений Остапец
> uin: 23747217
> jid: eugene_ostapets@jabber.ru
> _______________________________________________
> community mailing list
> community@lists.altlinux.org
> https://lists.altlinux.org/mailman/listinfo/community

Re: [Comm] squid + samba . очень хочеться ntlm у пользователей .

[Anton Vinogradov]

Anton Vinogradov пишет:
>
>
>  написал:1 июля 2008 г. 16:43 пользователь Anton Vinogradov <> написал:
>
>     Бьюсь уже больше недели.
>
>     бранч 4.0
>     sams 1.0.1 (можно и без него)
>     ---------------------------------------------------------
>     /usr/bin/ntlm_auth  --username=REG+proxytest
>     password:
>     NT_STATUS_OK: Success (0x0)
>     ----------------------------------------------------------
>     access.log
>
>     1214913169.854  32192 10.1.20.132 <http://10.1.20.132/>
>     TCP_HIT/000 0 GET http://ya.ru/ - DIRECT/ya.ru <http://ya.ru/> -
>     1214913192.911  22811 10.1.20.132 <http://10.1.20.132/>
>     TCP_HIT/000 0 GET http://ya.ru/ - DIRECT/ya.ru <http://ya.ru/>
>
>     или
>     1214744216.771      0 10.1.20.132 <http://10.1.20.132/>
>     TCP_DENIED/403 1441 GET http://ya.ru/ - NONE/- text/html
>     -----------
>     Squid.conf вовложении
>
>
>     Весь инет перерыл. Может не так спрашиваю?
>     У кого ни будь получалось это настроить?
>
> Похоже предыдущее письмо не прошло.
> Test.
>
Забыл добавить:
wbinfo -p и wbinfo -t  как и /usr/bin/ntlm_auth  
--username=REG+proxytest прходят всегда,
а вот wbinfo -u или wbinfo -g только после неопределенного шаманства 
вокруг kinit илиwbinfo -a.