прокси, тип авторизации, делимся опытом коллеги админы

Всем привет.

Буду рад, если кто поделится опытом эксплуатации различных типов авторизации прокси.
На серваке стоит squid + sams. Сейчас авторизация идет через ncsa, т.е. требуется логин с паролем.
Пока вижу одни минусы:
- при старте веб броузера приходится вводить пароль
- если пароль сохранен, юзерам приходится все равно совершать лишнее телодвижение, кликая каждый раз ОК при старте броузера
- при уттере и забытии пароля приходится его восстанавливать и идти на рабочее место вновь забивать.
- некоторые хитрые юзеры, сидящие на лимите, стали добывать пароли от безлимитных аккаунтов и сидеть под ними

Сейчас смотрю в сторону авторизации по IP, пока вижу одни плюсы:
+ лимит и статистика жестко привязаны по IP к конкретному рабочему месту
+ теперь зная пароль не получится без смены IP посидеть на безлимитном тарифе (про хитрых юзеров)
+ даже если продвинутый пользователь сменит IP и попадет на безлимитку, то это очень быстро станет заметным, так как истинный владелец не попадет в инет (при парольном методе аунтефикации злоупотребления выявляются только после просмотров логов)
+ можно привязать IP к мак адресу (вроде squid может это делать), тогда злоупотребления использования безлимитного интернета теми кому он не положен можно будет свести к минимуму.

Смущает пока то, что вижу в одном случае только минусы, а в другом только плюсы, поэтому с удовольствием готов пообщаться на эту тему. wink

На работе настроен squid+havp+squid+squidGuard, Авторизацыя за айпишкой+мак. Все работает нормально, Для ведения логов использую lightsquid. Всё нормально и это всё бегает на слаке 12.2

kisil,
Очень интересно!
А если например продвинутый юзер поменяет мак адрес и ай-пи чтобы сидеть на чужом интернете. Такое реально вычислить. Понятно что компьютер хозяина не выйдет в интернет, но нужно тогда еще и вычислить юзера, который подменил мак с айпишником, как тогда быть в такой ситуации?

Я не админ, и такими вопросами никогда не занимался, но в памяти крутится слово Stargazer. wink

duke написал:

kisil,
Очень интересно!
А если например продвинутый юзер поменяет мак адрес и ай-пи чтобы сидеть на чужом интернете. Такое реально вычислить. Понятно что компьютер хозяина не выйдет в интернет, но нужно тогда еще и вычислить юзера, который подменил мак с айпишником, как тогда быть в такой ситуации?

Ну правду говоря у меня в органзацыи нет таких юзеров, в этом я уверен. Нет я не сильно ограничил, лимит на скачивания слава богу не надо вообще, лимиты только на скорость. Ну а как вычислить продвинутого юзера, в этой сытуацыи мне кажетса только просмотр логов.

duke написал:

но нужно тогда еще и вычислить юзера, который подменил мак с айпишником, как тогда быть в такой ситуации?

просканить и увидеть вендовое имя, свериться с бумажкой, узнать на каком этаже герой и прихватить из серверной биту.

mycetophylax,
Спасибо за линк! wink
kisil,
Везет что нет продвинутых юзеров. А по скорости ограничение у нас делать не вариант, все равно попытаются медиа контент тянуть и канал забивать.
system-root,
Битой не обзавелся пока smile

Попробовал прикрутить авторизацию по IP для одного отдела. Плюсом через arp -f /etc/ethers прикрутил привязку IP к MAC адресу, пока полет нормальный. Людям нравится что пароль теперь не нужен. smile

duke написал:

Везет что нет продвинутых юзеров.

так у вас просто юзеры? не IT отдел а манагеры??? дык как они могут сменить MAC адрес не имея прав?

На прошлой неделе настраивал авторизацию по ntlm через домен, поднятый на ClearOS

system-root,
есть ИТ отдел :(

duke наткнулся на дистрибутивы - роутеры http://www.tux.in.ua/articles/1983 кажется здесь...
untangle - тут много платного... http://tuxologia.blogspot.com/2009/04/untangle.html
буду пробовать, правда на виртуалках...