SQUID + группы AD

[saikov]

Есть AD на samba4. Хочу к нему привязать squid. Все бы ничего, но не могу заставить проксик делать аутификацию по группам.

Вот конфиг squid

Код: Выделить всё

http_port 3128
logfile_rotate 7
cache_mem 100 MB
cache_swap_low 95
cache_swap_high 98
maximum_object_size 1000000 KB

auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 2 hours
acl ldapusers proxy_auth REQUIRED
http_access allow ldapusers

hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:                   1440    20%     10080
refresh_pattern ^gopher:                1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?)       0       0%      0
refresh_pattern .                       0       20%     4320
icp_port 3130
coredump_dir /var/spool/squid

Это все работает. Но есть группа InternetAccess и в ней есть пользователь sel_ldap. Вот нужно сделать так, что бы доступ в инет получали только те кто в группе InternetAccess. Бьюсь долго и не пойму где касяк.

Пробовал

Код: Выделить всё

/usr/lib/squid/squid_ldap_group -R -b "dc=smb,dc=mgkb1,dc=local" -D "sel_ldap@smb.mgkb1.local" -w XXXX -f "(&(memberUid=%v)(cn=%a))" -h 192.168.2.82 -v 3 -p 389

ввожу sel_ldap InternetAccess и получаю ошибку

[saikov]

Вот рабочий конфиг сквида

auth_param basic program /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

external_acl_type ldap_users %LOGIN /usr/lib/squid/squid_ldap_group -f "(&(objectclass=person)(sAMAccountName=%v)(memberOf=CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "CN=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "XXXXXX" -h 192.168.2.82 -v 3 -p 389

auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 1 minutes

acl inetusers external ldap_users ia
http_access allow inetusers
http_access deny all

[ulan44]

Вот как у меня работало пока не переделал на ntlm (сразу скажу что домен поднят на Samba4) на виндовозных доменах не проверял, но думаю не возникнет проблем

Код: Выделить всё

auth_param basic program /usr/lib/squid3/squid_ldap_auth -v 3 -P -R -u cn -s sub -b "dc=mydomen,dc=ru" -D "cn=Administrator,cn=Users,dc=mydomen,dc=ru" -w "password" -f "(&(sAMAccountName=%s))" -h 10.0.100.253
external_acl_type ldap_group %LOGIN /usr/lib/squid3/squid_ldap_group -b "DC=mydomen,DC=ru" -D "CN=Administrator,CN=Users,DC=mydomen,DC=ru" -w "password" -f "(&(sAMAccountName=%v)(memberOf=CN=%a,CN=Users,mydomen,DC=ru))" -v 3 -h 10.0.100.253
acl Access_inet_user external ldap_group Internet
acl ldapauth proxy_auth REQUIRED

[aromait]

Есть AD на samba4. Хочу к нему привязать squid. Все бы ничего, но не могу заставить проксик делать аутификацию по группам.

Вот конфиг squid

Код: Выделить всё

http_port 3128
logfile_rotate 7
cache_mem 100 MB
cache_swap_low 95
cache_swap_high 98
maximum_object_size 1000000 KB

auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 2 hours
acl ldapusers proxy_auth REQUIRED
http_access allow ldapusers

hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:                   1440    20%     10080
refresh_pattern ^gopher:                1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?)       0       0%      0
refresh_pattern .                       0       20%     4320
icp_port 3130
coredump_dir /var/spool/squid

Это все работает. Но есть группа InternetAccess и в ней есть пользователь sel_ldap. Вот нужно сделать так, что бы доступ в инет получали только те кто в группе InternetAccess. Бьюсь долго и не пойму где касяк.

Пробовал

Код: Выделить всё

/usr/lib/squid/squid_ldap_group -R -b "dc=smb,dc=mgkb1,dc=local" -D "sel_ldap@smb.mgkb1.local" -w XXXX -f "(&(memberUid=%v)(cn=%a))" -h 192.168.2.82 -v 3 -p 389

ввожу sel_ldap InternetAccess и получаю ошибку

Не знаю как на 4 самбе а вот на Win все работает Посетить мою домашнюю страницу

[sash-kan]

Есть AD на samba4. Хочу к нему привязать squid. Все бы ничего, но не могу заставить проксик делать аутификацию по группам.

Вот конфиг squid

Код: Выделить всё

http_port 3128
logfile_rotate 7
cache_mem 100 MB
cache_swap_low 95
cache_swap_high 98
maximum_object_size 1000000 KB

auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 2 hours
acl ldapusers proxy_auth REQUIRED
http_access allow ldapusers

hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
refresh_pattern ^ftp:                   1440    20%     10080
refresh_pattern ^gopher:                1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?)       0       0%      0
refresh_pattern .                       0       20%     4320
icp_port 3130
coredump_dir /var/spool/squid

Это все работает. Но есть группа InternetAccess и в ней есть пользователь sel_ldap. Вот нужно сделать так, что бы доступ в инет получали только те кто в группе InternetAccess. Бьюсь долго и не пойму где касяк.

Пробовал

Код: Выделить всё

/usr/lib/squid/squid_ldap_group -R -b "dc=smb,dc=mgkb1,dc=local" -D "sel_ldap@smb.mgkb1.local" -w XXXX -f "(&(memberUid=%v)(cn=%a))" -h 192.168.2.82 -v 3 -p 389

ввожу sel_ldap InternetAccess и получаю ошибку

Не знаю как на 4 самбе а вот на Win все работает Посетить мою домашнюю страницу

это нынче такой спам пошёл?

[drBatty]

это нынче такой спам пошёл?

не, это в ВАШЕМ же движке такая нелепая подпись для ссылок по дефолту (:

[sash-kan]

это нынче такой спам пошёл?

не, это в ВАШЕМ же движке такая нелепая подпись для ссылок по дефолту (:

я вижу вот это:
как-то очень сложно сказать, что это изображение имеет отношение к данной теме·

[drBatty]

sash-kan
я не про то, я про движок ЭТОГО форума.

[sash-kan]

drBatty
я вас понял с первого раза·
а вы не поняли·
удивление у меня вызвало содержимое (точнее, его отстутствие) открывающейся по ссылке страницы, а не текст поста·

[drBatty]

удивление у меня вызвало содержимое (точнее, его отстутствие) открывающейся по ссылке страницы, а не текст поста·

у меня почему-то содержимое есть: