Помогите с Squid3 на FreeBSD7.1 amd 64

Проблемы установки, настройки и работы Правильной Операционной Системы

Модератор: terminus

Правила форума
Убедительная просьба юзать теги [cоde] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-01-30 12:23:04

Доброго времени суток!!!

Недавно получил задание, собрать новый Proxy сервер с контролем трафика и т.д.

После установки FreeBSD7.1 настроил IPFW и стал устанавливать:

1 SAMBA 3 c поддержкой winbind. Здесь все нормально, wbinfo все видит и все работает.
2 MySQL5 + APACHE 1.3 + PHP5 + phpMyAdmin
3 SQUID 3.0
4 SAMS 1.3
/usr/ports/security/heimdal - не стал ставить

все пакеты ставил с портов, все работает кроме SQUID 3.0, точнее работает но либо в режиме прозрачного прокси, либо он запрашивает постоянную авторизацию. :( В конфиг сквида добавил только (как на версии 2,6):

Код: Выделить всё

auth_param ntlm  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
auth_param basic  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
вот содержание nsswitch.conf

Код: Выделить всё

#group: compat
group_compat: nis
hosts: files dns
networks: files
#passwd: compat
passwd_compat: nis
shells: files
services: compat
services_compat: nis
protocols: files
rpc: files
passwd: files winbind
group: files winbind
содержание sams.conf

Код: Выделить всё

[client]
SQUID_DB=squidlog
SAMS_DB=squidctrl
MYSQLHOSTNAME=localhost
MYSQLUSER=sams
MYSQLPASSWORD= samsuser
MYSQLVERSION=5.1
SQUIDCACHEFILE=access.log
SQUIDROOTDIR=/usr/local/etc/squid
SQUIDLOGDIR=/usr/local/squid/logs
SQUIDCACHEDIR=/usr/local/squid/cache
SAMSPATH=/usr/local
SQUIDPATH=/usr/local/sbin
SQUIDGUARDLOGPATH=/var/log
SQUIDGUARDDBPATH=/var/db/squidGuard
RECODECOMMAND=iconv -f KOI8-R -t 866 %finp > %fout
LDAPSERVER=10.16.0.7 10.16.0.8
LDAPBASEDN= domain.loc
LDAPUSER= admin
LDAPUSERPASSWD= passwd
LDAPUSERSGROUP=domain
REJIKPATH=/usr/local/rejik
SHUTDOWNCOMMAND=shutdown -h now
CACHENUM=0
вот smb.conf

Код: Выделить всё

[global]

# workgroup = NT-Domain-Name or Workgroup-Name, eg: MIDEARTH
   workgroup = [i]DOMAIN[/i]

# server string is the equivalent of the NT Description field
   server string = ProxyServer
;   netbios name = star

# Security mode. Defines in which mode Samba will operate. Possible 
# values are share, user, server, domain and ads. Most people will want 
# user level security. See the Samba-HOWTO-Collection for details.
   security = [i]domain[/i]

# This option is important for security. It allows you to restrict
# connections to machines which are on your local network. The
# following example restricts access to two C class networks and
# the "loopback" interface. For more examples of the syntax see
# the smb.conf man page
   hosts allow = [i]10.16. 127.[/i]

# If you want to automatically load your printer list rather
# than setting them up individually then you'll need this
;   load printers = yes

# you may wish to override the location of the printcap file
;   printcap name = /etc/printcap

# on SystemV system setting printcap name to lpstat should allow
# you to automatically obtain a printer list from the SystemV spool
# system
;   printcap name = lpstat

# It should not be necessary to specify the print system type unless
# it is non-standard. Currently supported print systems include:
# bsd, cups, sysv, plp, lprng, aix, hpux, qnx
;   printing = cups

# Uncomment this if you want a guest account, you must add this to /etc/passwd
# otherwise the user "nobody" is used
;  guest account = pcguest

# this tells Samba to use a separate log file for each machine
# that connects
   log file = /var/log/samba/log.%m

# Put a capping on the size of the log files (in Kb).
   max log size = 50

# Use password server option only with security = server
# The argument list may include:
#   password server = My_PDC_Name [My_BDC_Name] [My_Next_BDC_Name]
# or to auto-locate the domain controller/s
#   password server = *
   password server = [i]10.16.0.7 10.16.0.8[/i]

# Use the realm option only with security = ads
# Specifies the Active Directory realm the host is part of
   realm = domain.loc

# Backend to store user information in. New installations should 
# use either tdbsam or ldapsam. smbpasswd is available for backwards 
# compatibility. tdbsam requires no further configuration.
   passdb backend = [i]tdbsam[/i]

# Using the following line enables you to customise your configuration
# on a per machine basis. The %m gets replaced with the netbios name
# of the machine that is connecting.
# Note: Consider carefully the location in the configuration file of
#       this line.  The included file is read at that point.
;   include = /usr/local/etc/smb.conf.%m

# Most people will find that this option gives better performance.
# See the chapter 'Samba performance issues' in the Samba HOWTO Collection
# and the manual pages for details.
# You may want to add the following on a Linux system:
;   socket options = SO_RCVBUF=8192 SO_SNDBUF=8192
socket options = [i]TCP_NODELAY[/i]

# Configure Samba to use multiple interfaces
# If you have multiple network interfaces then you must list them
# here. See the man page for details.
   interfaces = [i]10.16.0.0/22[/i]

# Browser Control Options:
# set local master to no if you don't want Samba to become a master
# browser on your network. Otherwise the normal election rules apply
   local master = [i]no[/i]

# OS Level determines the precedence of this server in master browser
# elections. The default value should be reasonable
   os level =[i] 0[/i]

# Domain Master specifies Samba to be the Domain Master Browser. This
# allows Samba to collate browse lists between subnets. Don't use this
# if you already have a Windows NT domain controller doing this job
   domain master = no

# Preferred Master causes Samba to force a local browser election on startup
# and gives it a slightly higher chance of winning the election
   preferred master = [i]no[/i]

# Enable this if you want Samba to be a domain logon server for 
# Windows95 workstations. 
   domain logons = [i]no[/i]

# if you enable domain logons then you may want a per-machine or
# per user logon script
# run a specific logon batch file per workstation (machine)
;   logon script = %m.bat
# run a specific logon batch file per username
;   logon script = %U.bat

# Where to store roving profiles (only for Win95 and WinNT)
#        %L substitutes for this servers netbios name, %U is username
#        You must uncomment the [Profiles] share below
;   logon path = \\%L\Profiles\%U

# Windows Internet Name Serving Support Section:
# WINS Support - Tells the NMBD component of Samba to enable it's WINS Server
;   wins support = yes

# WINS Server - Tells the NMBD components of Samba to be a WINS Client
#	Note: Samba can be either a WINS Server, or a WINS Client, but NOT both
;   wins server = 10.16.0.7 10.16.0.8

# WINS Proxy - Tells Samba to answer name resolution queries on
# behalf of a non WINS capable client, for this to work there must be
# at least one	WINS Server on the network. The default is NO.
;   wins proxy = yes

# DNS Proxy - tells Samba whether or not to try to resolve NetBIOS names
# via DNS nslookups. The default is NO.
   dns proxy = no 

# Charset settings
  [i] display charset = koi8-r
   unix charset = koi8-r
   dos charset = cp866[/i]

# Use extended attributes to store file modes
;    store dos attributes = yes
;    map hidden = no
;    map system = no
;    map archive = no

# Use inherited ACLs for directories
;    nt acl support = yes
;    inherit acls = yes
;    map acl inherit = yes 

# These scripts are used on a domain controller or stand-alone 
# machine to add or delete corresponding unix accounts
;  add user script = /usr/sbin/useradd %u
;  add group script = /usr/sbin/groupadd %g
;  add machine script = /usr/sbin/adduser -n -g machines -c Machine -d /dev/null -s /bin/false %u
;  delete user script = /usr/sbin/userdel %u
;  delete user from group script = /usr/sbin/deluser %u %g
;  delete group script = /usr/sbin/groupdel %g

#
[i] winbind separator = +
 winbind use default domain = yes
 winbind uid = 10000-20000
 winbind gid = 10000-20000
 winbind enum users = yes
 winbind enum groups = yes
 template homedir = /home/winnt/%D/%U
 template shell = /bin/bash
 encrypt passwords = yes
[/i]
#============================ Share Definitions ==============================
[homes]
   comment = Home Directories
Люди добрые, поделитесь с мыслями. Делал вот по этой статье:http://www.lissyara.su/?id=1808, хотя в прошлый раз все работало.

С Уважением!!!!
Последний раз редактировалось NN 2009-02-01 20:42:06, всего редактировалось 2 раза.
Каждому свое!!!!

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
manefesto
Группенфюррер
Сообщения: 6934
Зарегистрирован: 2007-07-20 8:27:30
Откуда: Пермь
Контактная информация:

Re: уже не знаю что делать с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение manefesto » 2009-01-30 13:14:23

пока не оформишь нормально не поможем
я такой яростный шо аж пиздеЦ
Изображение

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: уже не знаю что делать с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-01 17:45:55

Люди, ну помогите же !!!
Каждому свое!!!!

Аватара пользователя
InventoR
ст. лейтенант
Сообщения: 1344
Зарегистрирован: 2006-12-10 19:43:25
Контактная информация:

Re: уже не знаю что делать с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение InventoR » 2009-02-01 20:30:45

плиз. тебе уже явно сказали что надо сделать чтобы тебе помогли, за тебя тут не кто не будет делать )
правила есть правила.
ну вот и сказочке конец, кто слушал, тот молодец.

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: уже не знаю что делать с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-01 20:43:28

InventoR писал(а):плиз. тебе уже явно сказали что надо сделать чтобы тебе помогли, за тебя тут не кто не будет делать )
правила есть правила.
переоформил, хотя много топиков без ВВ
Каждому свое!!!!

Аватара пользователя
FoxDW
мл. сержант
Сообщения: 106
Зарегистрирован: 2008-08-04 4:42:43
Откуда: Красноярск
Контактная информация:

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение FoxDW » 2009-02-02 9:02:15

все пакеты ставил с портов, все работает кроме SQUID 3.0, точнее работает но либо в режиме прозрачного прокси, либо он запрашивает постоянную авторизацию.
А как надо то что бы работал ?

что выдает

wbinfo -u

ntlm_auth --username
Вот как то так

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-02 9:46:52

FoxDW писал(а):
все пакеты ставил с портов, все работает кроме SQUID 3.0, точнее работает но либо в режиме прозрачного прокси, либо он запрашивает постоянную авторизацию.
А как надо то что бы работал ?

что выдает

wbinfo -u

ntlm_auth --username

wbinfo -u - как и положено список пользователей в локальном домене, без плюсов и т.д.

ntlm_auth ----helper-protocol=squid-2.5-basic , хм странно действительно ничего не выдает, вбиваю домен+user пробел пароль и еррор(((((((((((

тогда может кто подскажет в сторону чего копать???????????
Каждому свое!!!!

Аватара пользователя
FoxDW
мл. сержант
Сообщения: 106
Зарегистрирован: 2008-08-04 4:42:43
Откуда: Красноярск
Контактная информация:

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение FoxDW » 2009-02-02 11:47:56

ntlm_auth --username=user --password=pass
Вот как то так

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-02 11:56:29

FoxDW писал(а):ntlm_auth --username=user --password=pass

вот что выдал NT_STATUS_NO_TRUST_SAM_ACCOUNT: No trusted SAM account (0xc000018b)
Каждому свое!!!!

Аватара пользователя
FoxDW
мл. сержант
Сообщения: 106
Зарегистрирован: 2008-08-04 4:42:43
Откуда: Красноярск
Контактная информация:

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение FoxDW » 2009-02-02 12:06:56

net join делали ?

realm = domain.loc в вехнем регистре вроде должно быть
Вот как то так

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-02 12:27:09

FoxDW писал(а):net join делали ?

realm = domain.loc в вехнем регистре вроде должно быть
исправил на realm = DOMAIN.LOC

net join -U admin :

Код: Выделить всё

[2009/02/02 16:17:08, 0] libads/kerberos.c:ads_kinit_password(228)
  kerberos_kinit_password PROXY$@DOMAIN.LOC failed: Preauthentication failed
Failed to join domain: Logon failure
ADS join did not work, falling back to RPC...
Joined domain DOMAIN.

Каждому свое!!!!

Аватара пользователя
FoxDW
мл. сержант
Сообщения: 106
Зарегистрирован: 2008-08-04 4:42:43
Откуда: Красноярск
Контактная информация:

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение FoxDW » 2009-02-02 13:52:35

в smd.conf

security = ADS

net ads join -U

керберос белет то получил вообще ? kinit

+ иногда не входит в домен из за DNS, можно руками добавить запись о сервере и попробовать завести заного
Вот как то так

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-02 20:57:15

FoxDW писал(а):в smd.conf

security = ADS

net ads join -U

керберос белет то получил вообще ? kinit

+ иногда не входит в домен из за DNS, можно руками добавить запись о сервере и попробовать завести заного
KLIST показывает что билет получен.

Код: Выделить всё

Credentials cache: FILE:/tmp/krb5cc_0
        Principal: admin@DOMAIN.LOC

  Issued           Expires        Principal
Jan 26 08:33:38  >>>Expired<<<  krbtgt/DOMAIN.LOC@DOMAIN.LOC
в SMB.CONF исправил на security = ADS и потом запустил net ads join -U admin%passwd то получил следующее:

Код: Выделить всё

Using short domain name -- DOMAIN
Joined 'PROXY' to realm 'DOMAIN.LOC'
Теперь пробую /usr/local/bin/ntlm_auth --username=admin --password=passwd, выдает

Код: Выделить всё

NT_STATUS_OK: Success (0x0)
id admin

Код: Выделить всё

uid=10000(admin) gid=10001(пользователи домена) groups=10001(пользователи домена),10006(администраторы предприятия),10000(администраторы домена),10010(exchange organization administrators),10011(exchange recipient administrators),10012(exchange view-only administrators),10086(администраторы wsus),10115(BUILTIN+administrators)
/usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic тоже работает :roll:
Завтра на работе попробую заставить пользователей авторизоваться, напишу что и как.
Каждому свое!!!!

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-03 7:10:49

Сегодня прописал в SQUID.CONF

Код: Выделить всё

auth_param ntlm  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
auth_param basic  program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic

auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
в самсе добавил себя, сделал реконфигурацию и все, опять требует авторизацию(((((( Может я опять что то не то сделал?
Каждому свое!!!!

Аватара пользователя
FoxDW
мл. сержант
Сообщения: 106
Зарегистрирован: 2008-08-04 4:42:43
Откуда: Красноярск
Контактная информация:

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение FoxDW » 2009-02-03 8:45:59

Попробуйте так

auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic

auth_param ntlm children 5
auth_param ntlm realm Squid proxy-caching web server
auth_param ntlm credentialsttl 2 hours
auth_param ntlm casesensitive off
Вот как то так

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-03 10:44:45

FoxDW писал(а):Попробуйте так

auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic

auth_param ntlm children 5
auth_param ntlm realm Squid proxy-caching web server
auth_param ntlm credentialsttl 2 hours
auth_param ntlm casesensitive off


Теперь сквид ругается

Код: Выделить всё

Starting squid.
2009/02/03 14:33:30| AuthNTLMConfig::parse: unrecognised ntlm auth scheme parameter 'realm'
2009/02/03 14:33:30| AuthNTLMConfig::parse: unrecognised ntlm auth scheme parameter 'credentialsttl'
2009/02/03 14:33:30| AuthNTLMConfig::parse: unrecognised ntlm auth scheme parameter 'casesensitive'
заремарил эти строки - пароль не спрашивает и не работает(
Каждому свое!!!!

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-03 12:23:24

посмотрел логи, пишет что winbind не может авторизовать пользователя(
Каждому свое!!!!

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-03 18:37:41

сейчас проверил хэлперы сквида, работают нормально но авторизоваться так и не получилось. У кого какие идеи могут возникнуть????
Каждому свое!!!!

NN
мл. сержант
Сообщения: 102
Зарегистрирован: 2008-12-05 6:55:31

Re: Помогите с Squid3 на FreeBSD7.1 amd 64

Непрочитанное сообщение NN » 2009-02-06 10:07:02

Разобрался наконец то!!!!!!! :Yahoo!:

В общем все как делали,все правильно. Грабли вот в чем: посмотрел внимательно в аксес листы сквида и раскоментировал строку

Код: Выделить всё

http_acces deny all
плюс втупил, не посмотрел способ авторизации пользователей в SAMS. Там шаблон по умолчанию стоит с IP авторизацией, а не по NTLM.


Огромную благодарность выражаю: FoxDW , за оказанную поддержку.
Каждому свое!!!!