Debian Squeeze + Samba + AD + Squid

14.12.2011 16:38 · отредактировано #214069

Kettler написал:
как маленький
/etc/init.d/squid stop
squid -z

В настройке squid маленький... :rolleyes:
[console]service squid3 stop
squid3 -z
2011/12/14 18:29:34| Creating Swap Directories[/console]

Kettler написал:
покаж конфиг

Вот:

Показать

[console]####### Configuration File #######
####### cache manager
cache_mgr samba@pharmlider.local

####### kerberos authentication
auth_param negotiate program /usr/lib/squid3/squid_kerb_auth -d -s HTTP/1cserver.pharmlider.local
auth_param negotiate children 10
auth_param negotiate keep_alive on

####### provide access via ldap for clients not authenticated via kerberos
auth_param basic program /usr/lib/squid3/squid_ldap_auth -R \
-b "dc=pharmlider,dc=local" \
-D samba@pharmlider.local \
-w "Ujkjktl200" \
-f sAMAccountName=%s \
-h taraz.pharmlider.local
auth_param basic children 10
auth_param basic realm Internet Proxy
auth_param basic credentialsttl 1 minute

####### ldap authorizations
# restricted proxy access logged
external_acl_type internet_users %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "dc=pharmlider,dc=local" \
-D samba@pharmlider.local \
-w "Ujkjktl200" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users,ou=Security Grou$
-h taraz.pharmlider.local
# full proxy access no logging
external_acl_type internet_users_full_nolog %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "dc=pharmlider,dc=local" \
-D samba@pharmlider.local \
-w "Ujkjktl200" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full NoLog,ou=Se$
-h taraz.pharmlider.local
# full proxy access logged
external_acl_type internet_users_full_log %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "pharmlider,dc=local" \
-D samba@pharmlider.local \
-w "Ujkjktl200" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full,ou=Security$
-h taraz.pharmlider.local

####### acl for proxy auth and ldap authorizations
acl auth proxy_auth REQUIRED
# format "acl, aclname, acltype, acltypename, activedirectorygroup"
acl RestrictedAccessLog external internet_users Internet\ Users
acl FullAccessNoLog external internet_users_full_nolog Internet\ Users\ Full\ NoLog
acl FullAccessLog external internet_users_full_log Internet\ Users\ Full
acl whitelistsites url_regex -i "/etc/squid3/whitelistsites.list"
acl blockedsites url_regex -i "/etc/squid3/blocklistsites.list"

####### squid defaults
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost

####### enforce auth: order of rules is important for authorization levels
no_cache deny whitelistsites
http_access allow whitelistsites
http_access allow FullAccessNoLog auth
http_access allow FullAccessLog auth
http_access deny blockedsites
http_access allow RestrictedAccessLog auth

####### logging
# don't log whitelistsites, FullAccessNoLog
access_log /var/log/squid3/access.log squid !whitelistsites !FullAccessNoLog

####### squid defaults
http_access deny all
http_port 192.168.11.4:3128
hierarchy_stoplist cgi-bin ?
coredump_dir /var/spool/squid3
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320[/console]

Если нужно, то можно через TeamViewer.

14.12.2011 16:46 #214071

у вас скок клиентов если выше 10 то увеличь значение

children 10 на скок клиентов.

14.12.2011 16:46 #214072

Kettler, пока я один.

14.12.2011 16:48 #214073

Я через LDAP не силён но пробуй закоментировать.

text

auth_param negotiate program /usr/lib/squid3/squid_kerb_auth -d -s HTTP/1cserver.pharmlider.local
auth_param negotiate children 10
auth_param negotiate keep_alive on

14.12.2011 16:52 #214076

Kettler написал:
Я через LDAP не силён но пробуй закоментировать.

Вообще перестало работать.

14.12.2011 16:52 #214077

ну тогда гугли) я и за этого окна и отказался от такой конфигурации.

25.12.2011 19:30 #216530

Kettler написал:
Проверим аутентификацию

[console]wbinfo –authenticate=RA\\ADMIN%PASS

plaintext password authentication succeeded
challenge/response password authentication succeeded
[/console]

Если у вас такие же результаты, то поздравляю, самбу мы настроили. Теперь осталось только указать пользователя, от имени которого будет проходить аутентификация.

[console]net setauthuser -U RA\\ADMIN[%PASS][/console]

Проверяем

[console]net help getauthuser

RA\RA\ADMIN[%PASS][/console]

А что подразумевается под:
[console]\\ADMIN%PASS[/console]И нужны ли квадратные скобки?

25.12.2011 19:35 #216531

Kettler написал:
Перевёл сквид на групповую политику посмотрим дня 2 что выйдет

Работает?

25.12.2011 20:39 #216535

Nigelist написал:
[quote=Kettler]Перевёл сквид на групповую политику посмотрим дня 2 что выйдет

Работает?[/quote]
тот же гемор. Плюнюл.

25.12.2011 22:40 · отредактировано #216564

Kettler написал:
Всё проверенно на debian 6 но говорю сразу глюки есть squid + ad (я отказался от затеи)

На предприятии работает связка AD (WinServer 2008), samba 3.5.6, debian 6, squid 2.7. Проблемы только с наследованием прав на сетевом диске самбы. Squid работает без нареканий (интернет раздаётся в зависимости от группы в AD).
Связка работает уже полгода.

26.12.2011 08:06 #216689

pgserious написал:
[quote=Kettler]Всё проверенно на debian 6 но говорю сразу глюки есть squid + ad (я отказался от затеи)

На предприятии работает связка AD (WinServer 2008), samba 3.5.6, debian 6, squid 2.7. Проблемы только с наследованием прав на сетевом диске самбы. Squid работает без нареканий (интернет раздаётся в зависимости от группы в AD).
Связка работает уже полгода.[/quote]
Скок клиентов?

26.12.2011 08:09 · отредактировано #216691

Kettler, не подскажете по команде net? Вроде как команда
[console]net ads join -U samba[/console]
Присоединяет к домену как пользователя домена, а как можно присоединить как дополнительный контроллер домена?

pgserious, а не могли бы вы пояснить тонкости ввода Debian в домен AD? Правда в моем случае это?
Windows Server 2003 - как основной контроллер домена
Debian Squezee 6.0.3 - как дополнительный контроллер домена, на нем Squid3 и Samba3 с последними обновлениями.

26.12.2011 08:23 #216692

по поводу как "дополнительный контроллер домена" я жду samba 4

26.12.2011 08:30 #216694

Kettler, а что, samba3 нельзя ввести как дополнительный контроллер домена?

19.01.2012 06:11 #222862

Kettler, еще один вопрос. При установке Squid3 должен добавляться пользователь squid? А то чего-то не нашел ни пользователя, ни группы.

19.01.2012 09:04 #222869

точно не помню но вроде работает под пользователем proxy

19.01.2012 15:10 #222948

Kettler, ок спасибо, буду пробовать.

19.01.2012 19:25 #223043

Kettler, гляньте пожалуйста конфиг Squid, нет ли в нем ошибок?

Показать

[console]####### Configuration File #######
####### cache manager
cache_mgr administrator@pharmlider.loc

####### kerberos authentication
auth_param negotiate program /usr/lib/squid3/squid_kerb_auth -d -s HTTP/appserver.pharmlider.loc
auth_param negotiate children 10
auth_param negotiate keep_alive on

####### provide access via ldap for clients not authenticated via kerberos
auth_param basic program /usr/lib/squid3/squid_ldap_auth -R \
-b "dc=pharmlider,dc=loc" \
-D administrator@pharmlider.loc \
-w "p@ssw0rd" \
-f sAMAccountName=%s \
-h taraz.pharmlider.loc
auth_param basic children 10
auth_param basic realm Internet Proxy
auth_param basic credentialsttl 1 minute

####### ldap authorizations
# restricted proxy access logged
external_acl_type internet_users %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "dc=pharmlider,dc=loc" \
-D administrator@pharmlider.loc \
-w "p@ssw0rd" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users log,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
-h taraz.pharmlider.loc
# full proxy access no logging
external_acl_type internet_users_full_nolog %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "dc=pharmlider,dc=loc" \
-D administrator@pharmlider.loc \
-w "p@ssw0rd" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full nolog,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
-h taraz.pharmlider.loc
# full proxy access logged
external_acl_type internet_users_full_log %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
-b "dc=pharmlider,dc=loc" \
-D administrator@pharmlider.loc \
-w "p@ssw0rd" \
-f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full log,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
-h taraz.pharmlider.loc

####### acl for proxy auth and ldap authorizations
acl auth proxy_auth REQUIRED
# format "acl, aclname, acltype, acltypename, activedirectorygroup"
acl RestrictedAccessLog external internet_users Internet\ Users\ log
acl FullAccessNoLog external internet_users_full_nolog Internet\ Users\ Full\ nolog
acl FullAccessLog external internet_users_full_log Internet\ Users\ Full\ log
acl whitelistsites url_regex -i "/etc/squid3/whitelist.list"
acl blockedsites url_regex -i "/etc/squid3/blocklist.list"

####### squid defaults
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost

####### enforce auth: order of rules is important for authorization levels
no_cache deny whitelistsites
http_access allow whitelistsites
http_access allow FullAccessNoLog auth
http_access allow FullAccessLog auth
http_access deny blockedsites
http_access allow RestrictedAccessLog auth

####### logging
# don't log whitelistsites, FullAccessNoLog
access_log /var/log/squid3/access.log squid !whitelistsites !FullAccessNoLog

####### squid defaults
http_access deny all
http_port 3128
hierarchy_stoplist cgi-bin ?
coredump_dir /var/spool/squid3
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320[/console]

12.12.2012 08:30 #290046

Думаю нужно знать некоторые полезные команды при настройке squid:
после редактирования конфига обязательно используйте вот эту команду: squid -k parse, она проверит файл на наличие синтаксических ошибок. Для того, чтобы squid применил внесенные в конфиг изменения без перезапуска самого "себя")), т.е просто перечитал свой конфиг и применил изменения, делаем так:

squid -k reconfigure.

Я кстати написал о том, как я настраивал squid на работы с AD вот ссылка http://www.artcom-ufa.ru/posts/2012/07/28/nastroika-squid