Squid + ntlm

Имеется Squid 2.7.STABLE9.
Подскажите такую вещь - при указании в браузере прокси вручную, выскакивает форма авторизации в прокси и все работает, в access.log пишется доменная учетка клиента. Если же не указывать прокси в браузере, то выскакивает страничка Access Denied. Проверял на разных браузерах и на разных учетках. Проблема в том, что если не указывать вообще никакого прокси в настройках браузера, то он не подозревает о том, что прокси использует авторизацию и пытается через него пробиться, как через прозрачный (это если использовать
http_port 3128 transparent). Если же transparent убрать, то squid режет url и пишет invalid request. При ручном указании прокси в браузере работают обе конструкции (и с transparent и без). Есть ли возможность избежать гемора с прописыванием прокси вручную на каждой машине (50+ штук)?

fletch написал:

Имеется Squid 2.7.STABLE9.
Подскажите такую вещь - при указании в браузере прокси вручную, выскакивает форма авторизации в прокси и все работает, в access.log пишется доменная учетка клиента. Если же не указывать прокси в браузере, то выскакивает страничка Access Denied. Проверял на разных браузерах и на разных учетках. Проблема в том, что если не указывать вообще никакого прокси в настройках браузера, то он не подозревает о том, что прокси использует авторизацию и пытается через него пробиться, как через прозрачный (это если использовать
http_port 3128 transparent). Если же transparent убрать, то squid режет url и пишет invalid request. При ручном указании прокси в браузере работают обе конструкции (и с transparent и без). Есть ли возможность избежать гемора с прописыванием прокси вручную на каждой машине (50+ штук)?

DHCP

CyberDaemon написал:

DHCP

Ну а как по вашему без явного указания прокси машина узнает шлюз по умолчанию? Естественно, DHCP работает, и на клиенте в св-вах соединения в графе "шлюз по умолчанию" стоит адрес машины со сквидом.
[UPD]
Пока ничего лучше задания прокси средствами групповых политик не придумал.

Если машины все на винде и поднятое AD, то в груповой политике прописываешь настройки прокси. У меня так.
Для облегчения авторизации (чтобы не вылазио окошко с запросом пользователя и пароля) требуется использовать NTLM-авторизацию. Для этого в сквиде делаешь вот так (это пример моего squid.conf)

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching server
auth_param basic credentialsttl 2 hours
acl MY_DOMAIN proxy_auth REQUIRED
external_acl_type ad_group %LOGIN /usr/lib/squid/wbinfo_group.pl
acl INTERNET_USERS external ad_group internetusers
http_access allow INTERNET_USERS
http_access deny all

про этом очень важно чтобы ntlm авторизация была первой строкой. Это в основном для IE. Предварительно надо настроить samb-у winbind и "загнать" проксю в домен.

fletch написал:

Есть ли возможность избежать гемора с прописыванием прокси вручную на каждой машине (50+ штук)?

iptables -t nat -A PREROUTING -i eth1 -p tcp –dport 80 -j DNAT –to 192.168.1.1:3128

И пользователи ни когда не узнают что они за прокси, к ним даже идти не нужно.
А вводить проксю в домен я бы не стал.
Не безопастно это, да и нафига козе баян?

Vadimsky,
это понятно, но одно НО wink -- прозрачный прокси и авторизация суть не совместимы.

Придётся выбрать, что мы хотим, либо удобно либо безопастно.

и всё равно это криво пашет