[Comm] Настройка samba и squid в домене 2003

[Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Доброго времени суток!
Уже довольно долго бьюсь с этой связкой.
Нужна шара и аутентификация в squid через AD или ntlm.
Максимум чего удалось добиться это завести машину в домен
wbinfo -p и -t проходят без проблем wbinfo -u -- почему-то через раз
Собственно с ntlm похоже проблем нет:
> /usr/bin/ntlm_auth --username=REG+proxytest
> password:
> NT_STATUS_OK: Success (0x0)
access.log
_____________________________________________________________________________________
1214744216.771      0 10.1.20.132 TCP_DENIED/403 1441 GET
http://ya.ru/ - NONE/- text/html
_____________________________________________________________________________________

Пните плз в нужном направлении.
PS: Маны читал и гугл юзал  :).

Re: [Comm] Настройка samba и squid в домене 2003

[Вадим Илларионов]

Anton Vinogradov wrote:

> Доброго времени суток!
> Уже довольно долго бьюсь с этой связкой.
> Нужна шара и аутентификация в squid через AD или ntlm.
> Максимум чего удалось добиться это завести машину в домен
> wbinfo -p и -t проходят без проблем wbinfo -u -- почему-то через раз
> Собственно с ntlm похоже проблем нет:
>> /usr/bin/ntlm_auth --username=REG+proxytest
>> password:
>> NT_STATUS_OK: Success (0x0)
> access.log
>
_____________________________________________________________________________________
> 1214744216.771      0 10.1.20.132 TCP_DENIED/403 1441 GET
> http://ya.ru/ - NONE/- text/html

Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
актуальным (у меня это на бзде работает):

auth_param ntlm
program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 30
acl     auth_users      proxy_auth REQUIRED
http_access allow auth_users
http_access deny all

_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Comm] Настройка samba и squid в домене 2003

[Вадим Илларионов]

> Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
> актуальным (у меня это на бзде работает):

auth_param ntlm
 program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 30
auth_param basic
 program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
acl     auth_users      proxy_auth REQUIRED
http_access allow auth_users
http_access deny all

Пропустил. См. выше.
Да, строчки, начинающиеся с 'program' - это продолжение предыдущих. Писать
надо одной строкой.
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Comm] Настройка samba и squid в домене 2003

[Вадим Илларионов]

05 забыл.
Разумеется, чтобы всё заработало, на машине со сквидом должен крутиться
сервис winbind с соответствующими настройками.
К примеру (первые 2 строчки в секции изменены):

# cat /usr/local/etc/smb.conf
[global]
workgroup = WINDOZE-DOMAIN
password server = ip.add.re.ss
security = domain
winbind uid = 100000-200000
winbind gid = 100000-200000
winbind use default domain = yes

И снова, это - под бздёй. Ищите, в какой конфиг смотрит ваш винбинд.
_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Вадим Илларионов пишет:
>> Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
>> актуальным (у меня это на бзде работает):
>>     
>
> auth_param ntlm
>  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
> auth_param ntlm children 30
> auth_param basic
>  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
> auth_param basic children 5
> auth_param basic realm Squid proxy-caching web server
> auth_param basic credentialsttl 2 hours
> acl     auth_users      proxy_auth REQUIRED
> http_access allow auth_users
> http_access deny all
>
> Пропустил. См. выше.
> Да, строчки, начинающиеся с 'program' - это продолжение предыдущих. Писать
> надо одной строкой.
>
>   
большое спасибо завтра поробую

PS забыл добавить squid у меня в группе winbind

Re: [Comm] [JT] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Вадим Илларионов пишет:
>
>
> Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
> актуальным (у меня это на бзде работает):
>
>   
Именно! все у кого это работает почему-то поднимали проксик именно на *BSD
Если получится¸ надо будет на wiki расписать.

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Вадим Илларионов пишет:
> 05 забыл.
> Разумеется, чтобы всё заработало, на машине со сквидом должен крутиться
> сервис winbind с соответствующими настройками.
> К примеру (первые 2 строчки в секции изменены):
>
> # cat /usr/local/etc/smb.conf
> [global]
> workgroup = WINDOZE-DOMAIN
> password server = ip.add.re.ss
> security = domain
> winbind uid = 100000-200000
> winbind gid = 100000-200000
> winbind use default domain = yes
>
> И снова, это - под бздёй. Ищите, в какой конфиг смотрит ваш винбинд.
>   
имеется, wbinfo -u даже иногда пользователей отдает

Re: [Comm] [JT] Настройка samba и squid в домене 2003

[Вадим Илларионов]

>> Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
>> актуальным (у меня это на бзде работает):
> Именно! все у кого это работает почему-то поднимали проксик именно на *BSD
> Если получится¸ надо будет на wiki расписать.

Не согласен.
В пору админенья Усольского почтамта эта схема у меня аккурат под ALC-3
работала. И даже как-то умудрился прозрачный проксёвник там
отрепетировать - жаль, что флэшка с конфигами про...лась.

_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Comm] Настройка samba и squid в домене 2003

[Вадим Илларионов]

Anton Vinogradov wrote:

>> И снова, это - под бздёй. Ищите, в какой конфиг смотрит ваш винбинд.
> wbinfo -u даже иногда пользователей отдает

Если и впрямь "иногда", то и тырнет будет доступен именно "иногда".
Плохой признак.

_________________________________
С уважением,
Вадим Илларионов
системный администратор
ООО "Новые Системы Телеком"
UIN: 7899517
JID: master at usib dot irkps dot ru
Телефоны:
- рабочий    +7 495 6414045+5885
- мобильный  +7 916 3889337

Re: [Comm] Настройка samba и squid в домене 2003

[Serge]

В сообщении от Wednesday 07 July 2004 17:03:16 Anton Vinogradov написал(а):
> Вадим Илларионов пишет:
> >> Добавьте в конфиг сквида следующие строчки, приведя пути до файлов к
> >> актуальным (у меня это на бзде работает):
> >
> > auth_param ntlm
> >  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
> > auth_param ntlm children 30
> > auth_param basic
> >  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
> > auth_param basic children 5
> > auth_param basic realm Squid proxy-caching web server
> > auth_param basic credentialsttl 2 hours
> > acl     auth_users      proxy_auth REQUIRED
> > http_access allow auth_users
> > http_access deny all
> >
> > Пропустил. См. выше.
> > Да, строчки, начинающиеся с 'program' - это продолжение предыдущих.
> > Писать надо одной строкой.
>
> большое спасибо завтра поробую
>
> PS забыл добавить squid у меня в группе winbind
и не забудьте права на каталог
/var/lib/samba/winbindd_privileged
у меня 
drwxr-x--- 2 root squid   4096 Jun 29 10:58 winbindd_privileged

id squid
uid=23(squid) gid=23(squid) groups=23(squid),26(shadow),59(winbind)

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Serge пишет:
>
> и не забудьте права на каталог
> /var/lib/samba/winbindd_privileged
> у меня 
> drwxr-x--- 2 root squid   4096 Jun 29 10:58 winbindd_privileged
>
> id squid
> uid=23(squid) gid=23(squid) groups=23(squid),26(shadow),59(winbind)
>
>
>   
так и сделано
только

drwxr-x--- 2 root  winbind

иначе  winbind ругается

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Вадим Илларионов пишет:
> Anton Vinogradov wrote:
>
>   
>>> И снова, это - под бздёй. Ищите, в какой конфиг смотрит ваш винбинд.
>>>       
>> wbinfo -u даже иногда пользователей отдает
>>     
>
> Если и впрямь "иногда", то и тырнет будет доступен именно "иногда".
> Плохой признак.
>
>
>   

при этом ntlm_auth всегда ОК 

Re: [Comm] Настройка samba и squid в домене 2003

[Serge]

В сообщении от Monday 07 July 2008 19:03:57 Anton Vinogradov написал(а):
> Serge пишет:
> > и не забудьте права на каталог
> > /var/lib/samba/winbindd_privileged
> > у меня
> > drwxr-x--- 2 root squid   4096 Jun 29 10:58 winbindd_privileged
> >
> > id squid
> > uid=23(squid) gid=23(squid) groups=23(squid),26(shadow),59(winbind)
>
> так и сделано
> только
>
> drwxr-x--- 2 root  winbind
>
> иначе  winbind ругается
я привел пример из работающей системы ;-)

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Serge пишет:
>
>> drwxr-x--- 2 root  winbind
>>
>> иначе  winbind ругается
>>     
> я привел пример из работающей системы ;-)
>
>   

С этого места по подробнее пожалуйста.
Что за система? бранч 4.0/офис-сервер/десктоп?
Версии самбы, сквида.
Думаю, что лучше будет воспроизвести то, что уже работает.

Re: [Comm] Настройка samba и squid в домене 2003

[Serge]

В сообщении от Monday 07 July 2008 21:09:57 Anton Vinogradov написал(а):
> Serge пишет:
> >> drwxr-x--- 2 root  winbind
> >>
> >> иначе  winbind ругается
> >
> > я привел пример из работающей системы ;-)
>
> С этого места по подробнее пожалуйста.
> Что за система? бранч 4.0/офис-сервер/десктоп?
> Версии самбы, сквида.
> Думаю, что лучше будет воспроизвести то, что уже работает.
Server branch 4.0
samba-common-3.0.30-alt1.M40.1
samba-client-3.0.30-alt1.M40.1
samba-client-control-1.2-alt1
samba-3.0.30-alt1.M40.1
squid-server-2.6.STABLE17-alt0.M40.1

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Serge пишет:
> В сообщении от Monday 07 July 2008 21:09:57 Anton Vinogradov написал(а):
>   
>> Serge пишет:
>>     
>>>> drwxr-x--- 2 root  winbind
>>>>
>>>> иначе  winbind ругается
>>>>         
>>> я привел пример из работающей системы ;-)
>>>       
>> С этого места по подробнее пожалуйста.
>> Что за система? бранч 4.0/офис-сервер/десктоп?
>> Версии самбы, сквида.
>> Думаю, что лучше будет воспроизвести то, что уже работает.
>>     
> Server branch 4.0
> samba-common-3.0.30-alt1.M40.1
> samba-client-3.0.30-alt1.M40.1
> samba-client-control-1.2-alt1
> samba-3.0.30-alt1.M40.1
> squid-server-2.6.STABLE17-alt0.M40.1
>   
Спасибо.
ntlm работает!
Осталось раскрыть тайну непостоянства wbinfo -u
На этот счет есть у меня подозрение: на машине две сетевухи.

Re: [Comm] Настройка samba и squid в домене 2003

[Anton Vinogradov]

Anton Vinogradov пишет:
> Вадим Илларионов пишет:
>> Anton Vinogradov wrote:
>>
>>  
>>>> И снова, это - под бздёй. Ищите, в какой конфиг смотрит ваш винбинд.
>>>>       
>>> wbinfo -u даже иногда пользователей отдает
>>>     
>>
>> Если и впрямь "иногда", то и тырнет будет доступен именно "иногда".
>> Плохой признак.
>>
>>
>>   
>
> при этом ntlm_auth всегда ОК
решено
Задал самбе interface для прослушки, теперь все ок