LinuxForum.Fans
Тема

squid c авторизацией в домене под windows 2003

Автор: rayden8 52 сообщений 12640 просмотров
24.10.2012 21:53 · отредактировано #282056

root@proxy:~# date
Thu Oct 25 05:56:23 MSK 2012
root@proxy:~# net time set
Wed Oct 24 22:55:01 MSK 2012
root@proxy:~# kinit squid1@nari.local
Password for squid1@nari.local:
kinit: Clock skew too great while getting initial credentials
root@proxy:~# ^C
root@proxy:~# /etc/init.d/ntpd start
-bash: /etc/init.d/ntpd: No such file or directory
root@proxy:~# /etc/init.d/ntp restart
Stopping NTP server: ntpd.
Starting NTP server: ntpd.
root@proxy:~# kinit squid1@nari.local
Password for squid1@nari.local:
kinit: Clock skew too great while getting initial credentials
root@proxy:~#

на сервере с АД такая же дата и время

24.10.2012 22:00 · отредактировано #282058

Допустимые расхождения по-умолчанию составляет 5 минут. У вас дата отстает на день.

24.10.2012 22:02 #282059
text
root@proxy:~# kinit squid1@NARI.LOCAL
Password for squid1@NARI.LOCAL:
root@proxy:~# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default principal: squid1@NARI.LOCAL

Valid starting     Expires            Service principal
10/24/12 22:01:29  10/25/12 08:01:58  krbtgt/NARI.LOCAL@NARI.LOCAL
        renew until 10/25/12 22:01:29
root@proxy:~#

Добился

24.10.2012 22:03 #282060
text
2. Можно ли зайти под учеткой домена на сам прокси?

что тут сделать?

24.10.2012 22:07 #282062

Зайти на проксик не рутом, а учеткой AD. Но сначала я бы попробовал сделать запрос в LDAP.

24.10.2012 22:09 #282064

Захожу под squid1 учеткой.

24.10.2012 22:11 #282065

Значит осталось настроить сам сквид...

24.10.2012 22:12 #282066

теперь сделать запрос.- это самое сложное. там много "буковок" в которых надо разбираться. типо формулы.

/usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local -w XXXXXX -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local -389

Так получается?
вместо ХХХХХ - это?

24.10.2012 22:13 #282067

да, верно. только авторизацию сквида в АД. потмоу что самс у меня статистику уже снимает. но там по IP идет привязка у меня. и в самом сквиде разрешено всем и все

24.10.2012 22:15 #282068

Пояснения все есть.
ключ -w это пароль

24.10.2012 22:23 #282072
text
root@proxy:~# /usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local -w 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local -389

ERR


ERR


ERR


ERR
^C
root@proxy:~# /usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local -w 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” 172.24.26.4 -389


ERR


ERR


ERR


ERR


ERR


ERR


ERR
^C
root@proxy:~#

что-то непонятное получилось... так и висит команажд. нажимаю энтер появляется ERR, и ctrl+c на выход

24.10.2012 22:28 #282074

В качестве запроса вводим строку в формате:

имя_пользователя пароль

24.10.2012 22:38 #282077

что то не правильно я делаю. напиши как она должна выглядить пожалуйста. а то у меня одни ERR

24.10.2012 22:43 · отредактировано #282079

Вроде опечатка в запросе... вместо -389 надо -p 389. Или не указывать- он все равно такой по умолчанию.

squid1 1q2w3e4r5t

24.10.2012 22:49 #282080
text
 /usr/lib/squid3/squid_ldap_auth -R -D squid1 -w 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local -389
/usr/lib/squid3/squid_ldap_auth -R -D squid1 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local -389

методом перебора кучу всего ввел. в итоге либо ERR либо неправильно введена команда и предложение ввести дополлнительные функции

text
Usage: squid_ldap_auth -b basedn [options] [ldap_server_name[:port]]...

        -b basedn (REQUIRED)    base dn under which to search
        -f filter               search filter to locate user DN
        -u userattr             username DN attribute
        -s base|one|sub         search scope
        -D binddn               DN to bind as to perform searches
        -w bindpasswd           password for binddn
        -W secretfile           read password for binddn from file secretfile
        -H URI                  LDAPURI (defaults to ldap://localhost)
        -h server               LDAP server (defaults to localhost)
        -p port                 LDAP server port
        -P                      persistent LDAP connection
        -c timeout              connect timeout
        -t timelimit            search time limit
        -R                      do not follow referrals
        -a never|always|search|find
                                when to dereference aliases
        -v 2|3                  LDAP version
        -Z                      TLS encrypt the LDAP connection, requires LDAP version 3
        -d                      enable debug mode


        If no search filter is specified, then the dn <userattr>=user,basedn
        will be used (same as specifying a search filter of '<userattr>=',
        but quicker as as there is no need to search for the user DN)


        If you need to bind as a user to perform searches then use the
        -D binddn -w bindpasswd or -D binddn -W secretfile options
24.10.2012 22:51 · отредактировано #282082

root@proxy:~# /usr/lib/squid3/squid_ldap_auth -R -D squid1@NARI.LOCAL -w 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local -p 389


root@proxy:~# /usr/lib/squid3/squid_ldap_auth -R -D squid1  -w 1q2w3e4r5t -b “dc=nari,dc=local” -f “sAMAccountName=%s” nari.local  -p 389


ERR

24.10.2012 22:55 · отредактировано #282083

Я так понимаю, что юзер из под которого делаются запросы в LDAP AD должен быть админом домена(или права на чтение из LDAP).

24.10.2012 23:02 #282084
text
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. nari.local  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@NARI.LOCAL  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. nari.local  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@NARI.LOCAL  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 172.24.26.4  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@NARI.LOCAL  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 10.10.100.3  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 172.24.26.4  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1@nari.local  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 10.10.100.3  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 10.10.100.3  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. nari.local  -p 389
^C
maxim@proxy:/$ /usr/lib/squid3/squid_ldap_auth -R -D squid1  -w 1q2w3e4r5t -b .dc=nari,dc=local. -f .sAMAccountName=%s. 172.24.26.4  -p 389

ERR
^C
maxim@proxy:/$

Вот под администратором домена

24.10.2012 23:04 #282087

. заменил на "

24.10.2012 23:04 · отредактировано #282088

Аргументы не такие как в запросах выше.... -b -f
Возможно на винде 389 порт блокирует файервол.

Войдите или зарегистрируйтесь, чтобы ответить.