Доброго времени суток!
Как и у большества системный администраторов у меня назрел вопрос по контролированию учета интернет трафика.
Выбор пал на Дебиан и прокси сервер Squid а поскольку имеется контроллер домена на 2008 r2 то разумеется вполне очевидно что авторизация пользователей должна происходить через него.
В групповых политиках создал группы INT_Users и прочие и попробовал ntlm авторизацию.
Ввел машину на Дебиане в домен настроил samba поставил winbind и Kerberos
Кофинг squid'а
# TAG: auth_param
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 30
# auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
# auth_param basic children 5
# auth_param basic realm Squid proxy-caching web server
# auth_param basic credentialsttl 2 hours
# auth_param basic casesensitive off
# TAG: external_acl_type
external_acl_type nt_group ttl=60 %LOGIN /usr/lib/squid/wbinfo_group.pl
# TAG: acl
acl all src all
acl HR external nt_group INT_HR
acl ICQ external nt_group INT_ICQ
acl USERS external nt_group INT_USERS
acl VIP external nt_group INT_VIP
acl FTP port 21
acl FTP port 20
acl SSL_ports port 443
acl CONNECT method CONNECT
#Acl net src 192.168.0.0/255.255.255.0
#http_access allow CONNECT torrnet net
acl deny_url url_regex "/etc/squid/ext_files/deny_url"
acl deny_hr url_regex "/etc/squid/ext_files/deny_hr"
# TAG: http_access
http_access allow FTP
http_access allow CONNECT SSL_ports
http_access allow SSL_ports
http_access allow VIP
http_access allow USERS !deny_url
http_access allow HR !deny_hr
http_access deny all
# TAG: icp_access
icp_access deny all
# TAG: http_port
http_port 192.168.0.1:88
# TAG: cache_mem
cache_mem 96 MB
# TAG: logformat
# logformat %>a %ul %un %ue %tg %Ss %rm %ru %rv
# TAG: access_log
access_log /var/log/squid/access.log squid
# TAG: cache_store_log
cache_store_log none
# TAG: hosts_file
hosts_file /etc/host
И все бы хорошо - все работает.
Однако мне надо делать отчеты за месяц полгода год и прочее, а как их делать и чем вот вопрос!
Пробовал Sams 1.0.5 авторизацию через ntlm.
Работает. Юзеров надо добавлять руками, и синхронизации с контроллером домена нет. Групповые политики получаются ненужны вообще. То есть вариант этот мне не нравится.
Попробовал Sams 2.0 beta авторизация через adld но у меня не получается правильно написать helper.
То есть в веб морде я отлично наблюдаю мои группы. Их можно добавить и с ними добавляются все пользователи состоящие в них. Кроме того при создании нового пользователя и добавляя его в группу INT_USERS он добавляется и в вебморде Sams2 автоматом.
Проблема - не работает Squid.
Выдает ошибку
g-deb-virt-02:/etc/init.d# /etc/init.d/squid restart Restarting Squid HTTP proxy: squid2010/10/05 11:17:49| Invalid Proxy Auth ACL 'acl Sams2Template2 proxy_auth cit-ag' because no authentication schemes are fully configured. FATAL: Bungled squid.conf line 602: acl Sams2Template2 proxy_auth cit-ag Squid Cache (Version 2.7.STABLE9): Terminated abnormally.
failed!
g-deb-virt-02:/etc/init.d#
Кроме всего прочего мне абсолютно не понятноь где и в каком разделе он создает эти Sams2Template2.
Sams 1.0.5 создает их в директории куда установлен Squid.
Если не использовать Sams то какой анализатор логов использовать? Пробовал Sarg но логи которые я получаю через Sarg очень убоги и храняться в обычных текстовых файлах. А мне поскольку сеть большая более 100 машин надо чтобы логи хранились в БД. Скажем чтобы писались в mysql.
Меня не интересует авторизция через IP или любая другая которая не будет задействовать групповые политики контроллера домена.
Очень хотелось бы увидеть объективные предложения и решения.
LinuxForum.Fans
Debian Squid + AD
Автор: joe_no_gui
31 сообщений
16121 просмотров
чем вам не нравиться sarg ?
У нас сеть тоже более 100 машин.
Да я получаю подобное тому что вы показали.
Но! Вы делаете отчет по трафику за месяц полугодие и год? и сколько места вы тогда выделили под логи сквида? и сколько по времени вы их делаете? у меня вот лично за неделю логи делаются около 20 минут! Правда конечно и железо у меня под дебианом не серверное. И задача стоит - хранение логов в БД.
Ну тогда заносить в базу скриптом. А после в забирать запросами.
http://forum.xaknet.ru/showthread.php?t=60
тут можно глянуть.
на основе скрипта уже плясать дальше что вам надо.
Вопрос конечно не по теме у вас не появляется окно введите логин и пароль?
Вот ещё нарыл http://code.google.com/p/sqlim/
не проверял ибо нет необходимости.
Можно попробывать использовать lightsquid, но он базы не ведёт, но сами логи на порядок меньше занимают, по сравнению из sarg.
Вобщем из всего выше пребложенного попробовал все!
И да,,. все-таки пришлось пока остановится на Sarg.
Настроил формирование отчетов в crontab -e ежедневные недельные и месячные.
Теперь есть задача прикрутить режик.
И вот тут столкнулся с небольшими трудностями.
Sama сам настраивает режик а тут конфиги надо править вручную.
Не слишком страшно конечно, но меня инетерсует как все атки должен выглядить конфиг redirector.conf под вышеуказанный конфиг сквида.
Сеть 192.168.0.0/24
Режик исходники скачать и скомпилировал.
Сначала добавляем в конфиг squid
#Под кем будем работать proxy:proxy
nano /etc/squid/squid.conf
cache_effective_user proxy
cache_effective_group proxy
Уставанавливаем всё что нам надо для сборки
apt-get install libpcre3 libpcre3-dev
Качаем последнию версию с сайта http://www.rejik.ru/index_ru_11_1.html в нашем примере redirector-3.2.8
cd /usr/src
wget http://www.rejik.ru/download/redirector-3.2.8.tgz
tar -xzf redirector-3.2.8.tgz
cd redirector-3.2.8
Открываем для редактирования Makefile и правим значения SQUID_USER и SQUID_GROUP на нашего пользователя и группу (proxy:proxy).
nano Makefile
Собираем и устанавливаем
make
make install
Качаем банлисты
wget http://www.rejik.ru/download/banlists-2.x.x.tgz
tar -xzf banlists-2.x.x.tgz
Переносим
mv banlists /usr/local/rejik3/
Копируем конфиг:
cp /usr/local/rejik3/redirector.conf.dist /usr/local/rejik3/redirector.conf
В конфиге путь к логам указан в ту же папку куда установлен и сам rejik, для удобства переношу логи в папку (/var/log/squid):
cd /var/log/squid
touch redirector.log redirector.err
chown proxy:proxy redirector.log (redirector.err)
Меняем наши пути:
nano /usr/local/rejik3/redirector.conf
error_log /var/log/squid/redirector.err
change_log /var/log/squid/redirector.log
Так же выставляем на папку banlists права (proxy:proxy):
chown -R proxy:proxy /usr/local/rejik3/banlists/*
Из папки /usr/local/rejik3/tools запускаем:
cd /usr/local/rejik3/tools
./check-redirector
http://127.0.0.1/ban/porno.html 127.0.0.1/- - GET
Идем в наши логи и смотрим - для нас важна в redirector.log строчка:
2010-09-20 16:19:09 [26671] Redirector start and working (3.2.8)
если что смотрим что он хочет и исправляем.
Добавляем в конфиг squid
redirect_program /usr/local/rejik3/redirector /usr/local/rejik3/redirector.conf
Можна прикрутить squidGuard
Большое спасибо. Я все это сделал. Но ведь нассколько я понимаю надо еще правильно настроить режик. В моем сквидовом конфиге я редиректю спомощью редиректора сквид а мне надо правильно написать правила для режика. Вот к примеру акой work_id и allow_id исходя из моего конфига сквида я должен указать?
Все же народ меня интересует как настроить редиректор!
Вот скажем, режик я смог настроить самостоятельно но!! для этого надо писать не группу а имя пользователя.
Представте как это заподло при громадной текучке кадров как у меня да еще и таком большом количестве пользователей.
Стандарный редиректор сквида конечно работает, но! тогда вопрос- как заменить ответ редиректора на что то по русски? и как его совместить с банлистами режика?
Вобщем буду очень признателен за ответы.
И снова я)) все таки решил а настроить самс2. Собрал из исходников обновил дистрибутив Ленни.
Все в принципе работает.. Надо тольк небольшой буден прикручивать.
Во первых имена пользователя он пишет с самого начала Верхним и нижний регистром не обращая внимания на указанные параметры.
Во вторых не пашет редиректор sams.
Для дистрибутива дебиан он приписывается не правильно в конфиг. Если поправить в ручную то все работает.
Ну и еще несколько мелочей. Приходится дописывать скприт на запуск sams2daemon а то автоматом при загрузке он не стартует.
Вообще самс2 если его отладить будет очень и очень интересным проэктом. Он и сейчас очень хорош, но есть все таки некоторые косяки, которые портят впечатление.
Самое приятное разумеется это логи в мускуле. А то с саргом я чесслово намучался.
Если авторизация через AD вас много ещё сюрпризов ждёт.
Второй день обкатываю) все оке) пользователей добавляет скриптом с домена. Группы создал.. вообще все почти работает. ТОлько редиректор - танцы с бубном. Ставил как писал из исходников с свн скачал. Если кому понадобиться помощь в установке самс2 на дебиане и настройке обращайстесь не откажу))
Ты вон каким макаром) дайка ссылку на man.
joe_no_gui, не могли бы вы подробно расписать тему - Debian Squeeze + Samba + Squid + AD? Контроллер домена на Windows Server 2003 R2. Если можно, то рассмотрите эту тему с этапа чистой установленной Debian и далее по порядку - шлюз, маршрутизация, samba, squid, sams, ad.
Присоединяюсь к Nigelist. Очень требуется толковый ман, хотя судя по дате поста вряд ли ман появился! Эх..! Мучаюсь вторую неделю, слишком много непоняток!
Присоединяюсь к Nigelist. Очень требуется толковый ман, хотя судя по дате поста вряд ли ман появился! Эх..! Мучаюсь вторую неделю, слишком много непоняток!
Завтра напишу вам подробный ман по настройке с нуля ад+сквид+самс, сегодня уже не успею, наверное.
Войдите или зарегистрируйтесь, чтобы ответить.
