Autênticação automática com AD e Squid 2.6

eduardo
(usa Linux Mint)

Enviado em 07/10/2008 - 10:31h

Bom dia pessoal,

Estou com a seguinte situação aqui.
Estamos fazendo um teste para colocar o squid como servidor principal utilizando autênticação via AD de um Windows Server 2003. A idéia é que, ao logar-se na rede, usando o usuário do Server 03, não seja necessário colocar a senha novamente no navegador quando acessar a internet. Isto é, quando você se logar na rede, você automaticamente estará logado para acessar a internet via proxy, com o seu usuário.

Estamos tentando usar um tal ntlm_auth, que encontramos em alguns fórums, mas não estamos obtendo sucesso. Alguém saberia como resolver?

Ou alguém sabe como fazer essa "autênticação automática"?

Estamos utilizando um Fedora 9, com máquinas virtuais de um Windows Server 2003 e um windows XP, para simular a "rede".

Desde já agradeço.
Obrigado.

araujo_silva
(usa Debian)

Enviado em 07/10/2008 - 12:38h

É necessário alterar a autenticação no squid (/etc/squid/squid.conf) e do sistema (/etc/pam.d/squid), ajuste da seguinte forma:
/etc/pam.d/squid
auth sufficient pam_winbind.so
auth required pam_unix.so use_authok

/etc/squid/squid.conf

auth_param basic program /usr/local/squid/libexec/pam_auth -n squid
auth_param basic children 10
auth_param basic real Acesso Restrito

Teste:
cd /usr/local/squid/libexec
./pam_auth -n squid
manuel falsasenhadomanuelnosistema
ERR
manuel verdadeirasenhadomanuelnosistema
OK

Teste e reporte o resultado.
Abraço

eduardo
(usa Linux Mint)

Enviado em 07/10/2008 - 13:47h

Obrigado, mas não é bem isso que eu quero. Com o PAM, ele fará a autênticação através dos usuários do "Linux". Eu preciso que ele autentique com os usuários do Windows Server.
Quando você utiliza os AD em uma rede, ele solicita um usuário e senha quando você liga o pc, para poder utilizar essa rede. Eu quero que ele utilize essa autênticação do windows server no proxy do linux, para que não seja necessário recolocar a senha quando abre o browser.

araujo_silva
(usa Debian)

Enviado em 07/10/2008 - 21:26h

A linha que referi do winbind é para solicitação dos usuários do AD, caso você não deseje os usuários locais, basta retirar a linha do módulo pam_unix.so.

eduardo
(usa Linux Mint)

Enviado em 10/10/2008 - 07:50h

Para funcionar foram necessárias as seguintes linhas /etc/pam.d/squid:

auth required pam_winbind.so
account required pam_winbind.so

Gostaria de saber duas coisas:

1- Existe uma forma de fazer essa autenticação sem a necessidade de ter o
samba instalado e configurado? Tipo, fazer a autenticação diretamente por
ldap, por exemplo?
2- Caso o samba seja necessário, como configurar o samba e o squid para
que quando haja uma alteração no AD do 2003, elas repassem em poucos minutos para o samba e o squid (atualmente as informações antigas ficam um tempão em cache).


Obrigado pelo auxílio,
Abraços.

araujo_silva
(usa Debian)

Enviado em 10/10/2008 - 14:34h

Primeiro o Squid:
Ele tem suporte ao LDAP. Basta utilizar o autenticador apropriado (ldap_auth) do squid, que deve ser compilado com suporte, e referenciar a base de autenticação:

auth_param basic program /usr/lib/squid/ldap_auth -R -b "ou=Usuarios,dc=Exemplo,dc=com" -f "uid=%s" -s sub -h $SERVIDOR

Depois o Samba.O qual também tem suporte ao LDAP. Mas exige uma configuração mais extensa (documentada aqui no VOL).

A demora na atualização precisa ser analisada em função do volume de tráfego e dos porcessos em funcionamento nos servidores envolvidos. Vou analisar o assunto e posto depois.

Abraço

araujo_silva
(usa Debian)

Enviado em 22/12/2008 - 10:01h

A sugestão do samba é que desabilitemos o cache do nscd (/etc/nscd.conf) o qual produz uma redundância quando opera em conjunto com um domínio conectado através do winbind.

# rcconf (nscd of) # Desabilite através do rcconf ou remova os links através do update-rc.d
# update-rc.d nscd remove

A atualização dos hosts e usuários deve se tornar mais rápida.

Abraço

araujo

fernandinhojb
(usa Debian)

Enviado em 09/07/2009 - 11:12h

Bom dia pessoal,

eu tenho o mesmo problema. Gostaria de fazer a mesma coisa autenticar no AD e não precisar colocar usuário e senha de proxy, mas seria no debian. Será que alguem poderia me ajudar?

Obrigado.