Настройка Squid+SMB auth в Slackware

Wed, 12 Apr 2006 08:16:50 GMT

Пакеты для загрузки:
Sqiud: ftp://ftp.directnet.ru/pub/squid/squid-2/STABLE/squid-2.5.STABLE13.tar.gz

Проверяем что установлена самба:


$ ls /var/adm/packages/samba*

Скачиваем, распаковываем, компилируем squid:


$ tar xvfz squid-2.5.STABLE13.tar.gz
$ cd squid-2.5.STABLE13
$ ./configure --enable-auth='ntlm basic' --enable-basic-auth-helpers=winbind \
  --enable-ntlm-auth-helpers=winbind --enable-external-acl-helpers='wbinfo_group \
  winbind_group' --prefix=/opt/squid
$ make
$ su
# make install

Редактируем конфиг /opt/squid/etc/squid.conf. Стандартные настройки не опысываю,
остановлюсь только на аутентификации:


auth_param ntlm program /usr/bin/ntlm_auth \
  --helper-protocol=squid-2.5-ntlmssp \
  --require-membership-of="MYDOMAIN+FullInternetAccess"
auth_param ntlm children 5
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 2 minutes
auth_param basic program /usr/bin/ntlm_auth \
  --helper-protocol=squid-2.5-basic \
  --require-membership-of="MYDOMAIN+FullInternetAccess"
auth_param basic children 5
auth_param basic realm Squid proxy-caching server SERVERNAME
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off

Символами '\' обозначены переносы строк. Вместо MYDOMAIN пишем название собственного
домена. FullInternetAccess - Название группы в домене, члены которой должны иметь
доступ к интернет через прокси.

Правим конфиг самбы:


workgroup = MYDOMAIN
security = domain
hosts allow = 10.1. 127.
password server = WINSERVER
socket options = TCP_NODELAY SO_RCVBUF=8192 SO_SNDBUF=8192
local master = no
domain master = no
auth methods = guest sam winbind ntdomain trustdomain
winbind gid = 5000-10000
winbind uid = 10000-20000
winbind separator = +

при такой настройке самба запрашивает аутентификацию учетных данных, передаваемых
сквидом, у контроллера домена, который непосредственно проверяет валидность логина и
пароля. Здесь WINSERVER - имя контроллера домена.

Подключаемся к домену:


$ net rpc join -S WINSERVER -U Administrator%пароль

Правим /etc/nsswitch.conf:


passwd:     files winbind
shadow:     files winbind

Если все нормально, команды
$ wbinfo -u
и
$ wbinfo -g
должны показывать списки пользователей и групп домена соответственно.

С браузерами обстановка следующая: IE отдает учетные данные самостоятельно, то есть те данные, под которыми юзер вошел в домен будут использоваться для аутентификации прокси. Для opera необходимо в поле "логин" писать домен+логин, для firefox - домен\логин.

l4mer

Настройка Squid+SMB auth в Slackware