Обсуждение SQUID+SAMS with NTLM

simple123

Cancer писал(а):Проверь
Код: Выделить всё
ps axw | grep winb
и версию ldap-clent покажи

Правила форума
Убедительная просьба юзать теги при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.

а эта байда появляется когда настройки winbind находятся вне параметра [global] в smb.conf

Хостинг HostFood.ru · **Хостинг HostFood.ru**

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

StarЫЙ

Здавствуйте, установил SAMS полностью по статье, были проблемы с аутентификацией вроде решил, но ни как не могу понять вылетеает SQUID из-за чего не понятно. каждае 4 минуты такое,

Код: Выделить всё

Jun 29 15:29:53 pr01 squid[3966]: logfileWrite (stdio): /usr/local/squid/logs/access.log: (32) Broken pipe
Jun 29 15:29:53 pr01 kernel: pid 3966 (squid), uid 100: exited on signal 6 (core dumped)
Jun 29 15:29:53 pr01 squid[657]: Squid Parent: child process 3966 exited due to signal 6
Jun 29 15:29:56 pr01 squid[657]: Squid Parent: child process 3990 started

Думал проблема с доступом. Давал полный не помогло.

Код: Выделить всё

ll /usr/local/squid/logs/
prw-rw-rw-  1 root   squid       0 Jun 28 11:26 access.log
-rw-r-----  1 squid  squid  352869 Jun 29 15:39 cache.log
-rw-r--r--  1 squid  squid       5 Jun 29 15:39 squid.pid
-rw-r-----  1 squid  squid    1593 Jun 29 10:14 store.log

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-29 14:09:40

А кто у тебя является владельцем access.log? root, а должен быть squid...

Daishell

Здравствуйте.
У меня проблема заключается в том, что каждое утро не работает авторизация.
в логе /var/log/squid/cache.log:

Код: Выделить всё

Could not get groups for user %username%

в логе /var/log/samba/winbindd.log:

Код: Выделить всё

[2009/06/29 09:26:31,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms
[2009/06/29 09:31:27,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms
[2009/06/29 09:36:27,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms
[2009/06/29 09:41:35,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms
[2009/06/29 09:46:48,  1] winbindd/winbindd_util.c:trustdom_recv(260)
  Could not receive trustdoms

При этом:

Код: Выделить всё

# wbinfo -t
checking the trust secret via RPC calls succeeded
# wbinfo -p
Ping to winbindd succeeded
# wbinfo -K user%pass
plaintext kerberos password authentication for [user] succeeded (requesting cctype: FILE)
credentials were put in: FILE:/tmp/krb5cc_0

Помогает перебор различных вариаций user:pass для скрипта wbinfo_group.pl.
Сначала он выдает ERR, а после того, как он выдаст OK для какого-нибудь пользователя и после рестарта сквида, всё работает.

Складывается ощущение, что winbindd лезет в какой-то кэш и не может взять оттуда. А вызывая скрипт wbinfo_group.pl, в какой-то момент кэш обнуляется и winbind уже берет из AD.

Ну и собственно вопрос: как бы вылечить?

StarЫЙ

Поставил на владельца squid не помогло валиться каждые 3 минуты.

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-29 14:54:37

StarЫЙ писал(а):Поставил на владельца squid не помогло валиться каждые 3 минуты.

А что при этом пишет в логе...

StarЫЙ

snorlov писал(а):
StarЫЙ писал(а):Поставил на владельца squid не помогло валиться каждые 3 минуты.
А что при этом пишет в логе...

Вот как-то так

Код: Выделить всё

Squid Cache (Version 2.7.STABLE6): Terminated abnormally.
CPU Usage: 0.172 seconds = 0.075 user + 0.097 sys
Maximum Resident Size: 8828 KB
Page faults with physical i/o: 0
2009/06/29 16:59:03| Starting Squid Cache version 2.7.STABLE6 for i386-portbld-freebsd6.4...
2009/06/29 16:59:03| Process ID 2512
2009/06/29 16:59:03| With 10893 file descriptors available
2009/06/29 16:59:03| Using kqueue for the IO loop
2009/06/29 16:59:03| helperOpenServers: Starting 5 'dnsserver' processes
2009/06/29 16:59:03| helperOpenServers: Starting 5 'redirector' processes
2009/06/29 16:59:03| helperStatefulOpenServers: Starting 5 'ntlm_auth' processes
2009/06/29 16:59:03| helperOpenServers: Starting 5 'ntlm_auth' processes
2009/06/29 16:59:04| logfileOpen: opening log /usr/local/squid/logs/access.log
2009/06/29 16:59:04| Unlinkd pipe opened on FD 30
2009/06/29 16:59:04| Swap maxSize 102400 + 8192 KB, estimated 0 objects
2009/06/29 16:59:04| Target number of buckets: 425
2009/06/29 16:59:04| Using 8192 Store buckets
2009/06/29 16:59:04| Max Mem  size: 8192 KB
2009/06/29 16:59:04| Max Swap size: 102400 KB
2009/06/29 16:59:04| logfileOpen: opening log /usr/local/squid/logs/store.log
2009/06/29 16:59:04| Rebuilding storage in /usr/local/squid/cache (CLEAN)
2009/06/29 16:59:04| Using Least Load store dir selection
2009/06/29 16:59:04| Set Current Directory to /usr/local/squid/cache
2009/06/29 16:59:04| Loaded Icons.
2009/06/29 16:59:12| Accepting proxy HTTP connections at 0.0.0.0, port 3128, FD 32.
2009/06/29 16:59:12| Accepting ICP messages at 0.0.0.0, port 3130, FD 33.
2009/06/29 16:59:12| WCCP Disabled.
2009/06/29 16:59:12| Ready to serve requests.
2009/06/29 16:59:12| Done reading /usr/local/squid/cache swaplog (4 entries)
2009/06/29 16:59:12| Finished rebuilding storage from disk.
2009/06/29 16:59:12|         4 Entries scanned
2009/06/29 16:59:12|         0 Invalid entries.
2009/06/29 16:59:12|         0 With invalid flags.
2009/06/29 16:59:12|         4 Objects loaded.
2009/06/29 16:59:12|         0 Objects expired.
2009/06/29 16:59:12|         0 Objects cancelled.
2009/06/29 16:59:12|         0 Duplicate URLs purged.
2009/06/29 16:59:12|         0 Swapfile clashes avoided.
2009/06/29 16:59:12|   Took 8.1 seconds (   0.5 objects/sec).
2009/06/29 16:59:12| Beginning Validation Procedure
2009/06/29 16:59:12|   Completed Validation Procedure
2009/06/29 16:59:12|   Validated 4 Entries
2009/06/29 16:59:12|   store_swap_size = 12k
2009/06/29 16:59:13| storeLateRelease: released 0 objects
2009/06/29 17:01:30| storeDirWriteCleanLogs: Starting...
2009/06/29 17:01:30| WARNING: Closing open FD   32
2009/06/29 17:01:30|   Finished.  Wrote 4 entries.
2009/06/29 17:01:30|   Took 0.0 seconds (4246.3 entries/sec).
FATAL: logfileWrite (stdio): /usr/local/squid/logs/access.log: (32) Broken pipe

Cancer · Непрочитанное сообщение **Cancer** » 2009-06-29 15:23:08

Старый! что у тебя валится squid ??? или winbind ????
если падает winbind помогает переустановка openldap-client 4 версии на 3 и соответственно пересобрать самбу...

StarЫЙ

Cancer писал(а):Старый! что у тебя валится squid ??? или winbind ????
если падает winbind помогает переустановка openldap-client 4 версии на 3 и соответственно пересобрать самбу...

С winbindом все в норме, заходит читает пользователей передает их в самс, а падает сквид.

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-29 16:07:11

Там еще могут отсуствовать права у squid'a на каталог var/db/samba/winbindd_privileges

StarЫЙ

snorlov писал(а):Там еще могут отсуствовать права у squid'a на каталог var/db/samba/winbindd_privileges

Поменял на squid:squid было root:squid теперь стало вот так,

Код: Выделить всё

Jun 29 18:43:52 pr01 winbindd[642]: [2009/06/29 18:43:52, 0] nsswitch/winbindd_cache.c:initialize_winbindd_cache(2230)
Jun 29 18:43:52 pr01 winbindd[642]:   initialize_winbindd_cache: clearing cache and re-creating with version number 1
Jun 29 18:43:52 pr01 winbindd[642]: [2009/06/29 18:43:52, 0] lib/util_sock.c:create_pipe_sock(1280)
Jun 29 18:43:52 pr01 winbindd[642]:   invalid permissions on socket directory /var/db/samba/winbindd_privileged
Jun 29 18:43:53 pr01 squid[656]: Squid Parent: child process 659 started
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 last message repeated 3 times
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 last message repeated 2 times
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:43:55 pr01 (ntlm_auth): [2009/06/29 18:43:55, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 29 18:43:55 pr01 (ntlm_auth):   could not obtain winbind domain name!
Jun 29 18:45:02 pr01 squid[659]: logfileWrite (stdio): /usr/local/squid/logs/access.log: (32) Broken pipe
Jun 29 18:45:02 pr01 kernel: pid 659 (squid), uid 100: exited on signal 6 (core dumped)
Jun 29 18:45:02 pr01 squid[656]: Squid Parent: child process 659 exited due to signal 6
Jun 29 18:45:05 pr01 squid[656]: Squid Parent: child process 812 started

а сквид как падает так и падает, только есть предположение что падает он когда к нему обращение идет

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-29 17:21:53

Я тут писал, что я включал acl на тот раздел, где находиться /var/db/samba/winbindd_privileges, и устанавливал права chown для root:wheel и через getfacl давал права rwx squid:squid

StarЫЙ · Непрочитанное сообщение **StarЫЙ** » 2009-06-30 8:24:05

Cancer писал(а):Старый! что у тебя валится squid ??? или winbind ????
если падает winbind помогает переустановка openldap-client 4 версии на 3 и соответственно пересобрать самбу...

Переустановил по Вашему совету толку не дало сквид как валиться так и валиться не пойму почему

snorlov писал(а):Я тут писал, что я включал acl на тот раздел, где находиться /var/db/samba/winbindd_privileges, и устанавливал права chown для root:wheel и через getfacl давал права rwx squid:squid

Не могли бы вы как-то по подробнее сказать, где писали, кстати почему именно эта папка не понятно /var/db/samba/winbindd_privileges если мне в логах пишет сквид

Код: Выделить всё

logfileWrite (stdio): /usr/local/squid/logs/access.log: (32) Broken pipe

можно чуть по подробнее про acl. Пожалуйста.

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-30 8:48:39

Каталог не тот обозвал должен быть /var/db/samba/winbindd_privileged

StarЫЙ писал(а):
snorlov писал(а):Я тут писал, что я включал acl на тот раздел, где находиться /var/db/samba/winbindd_privileges, и устанавливал права chown для root:wheel и через getfacl давал права rwx squid:squid
Не могли бы вы как-то по подробнее сказать, где писали, кстати почему именно эта папка не понятно /var/db/samba/winbindd_privileges если мне в логах пишет сквид
Код: Выделить всё
logfileWrite (stdio): /usr/local/squid/logs/access.log: (32) Broken pipe
можно чуть по подробнее про acl. Пожалуйста.

Посмотри 4-тую строчку в твоем логе и сразу поймешь, squid пытается авторизовать через winbind, а ему туда нет доступа, вот и падает, не понятно правда ты писал, что решил проблему с аутенфикацией в домене, ну а про acl сначала читайте man, потом
в однопользовательском режиме

Код: Выделить всё

 tunefs -a enable /ad...

а затем

Код: Выделить всё

setfacl -m g:squid:rwx /var/db/samba/winbindd_privileged
setfacl -m u:squid:rwx /var/db/samba/winbindd_privileged

проверка

Код: Выделить всё

getfacl /var/db/samba/winbindd_privileged

у пользователей root, squid и групп wheel, squid должны быть права на /var/db/samba/winbindd_privileged rwx

StarЫЙ

snorlov писал(а): getfacl /var/db/samba/winbindd_privileged[/code]
у пользователей root, squid и групп wheel, squid должны быть права на /var/db/samba/winbindd_privileged rwx

Сделал все как Вы рекомендовали

Код: Выделить всё

#file:/var/db/samba/winbindd_privileged
#owner:0
#group:0
user::rwx
user:root:rwx
user:squid:rwx
group::r-x
group:wheel:rwx
group:squid:rwx
mask::rwx
other::---

при этом windind стал падать при загрузке пишет, а сквид тоже самое говорит, выключаю acl все нормально winbind всех начинает видеть, а сквид все равно падает.

Код: Выделить всё

Jun 30 11:01:40 pr01 winbindd[642]: [2009/06/30 11:01:40, 0] nsswitch/winbindd_cache.c:initialize_winbindd_cache(2230)
Jun 30 11:01:40 pr01 winbindd[642]:   initialize_winbindd_cache: clearing cache and re-creating with version number 1
Jun 30 11:01:40 pr01 winbindd[642]: [2009/06/30 11:01:40, 0] lib/util_sock.c:create_pipe_sock(1280)
Jun 30 11:01:40 pr01 winbindd[642]:   invalid permissions on socket directory /var/db/samba/winbindd_privileged
Jun 30 11:01:41 pr01 squid[656]: Squid Parent: child process 659 started
Jun 30 11:01:41 pr01 squid[656]: Squid Parent: child process 659 exited with status 1
Jun 30 11:01:44 pr01 squid[656]: Squid Parent: child process 693 started
Jun 30 11:01:46 pr01 (ntlm_auth): [2009/06/30 11:01:46, 0] utils/ntlm_auth.c:get_winbind_domain(146)
Jun 30 11:01:46 pr01 (ntlm_auth): [2009/06/30 11:01:46, 0] utils/ntlm_auth.c:get_winbind_domain(146)

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-30 14:14:32

Немного я тебе наврал
изначально должно быть
chown -R root:wheel /var/db/samba/winbindd_privileged
chmod -R 750 /var/db/samba/winbindd_privileged
перезапускаем самбу и убеждаемся, что она работает winbind не падает
и только потом включив acl делаешь
setfacl -m g

r-x /var/db/samba/winbindd_privileged
результат
getfacl /var/db/samba/winbindd_privileged
#owner:root
#group:wheel
user::rwx
group::r-x
group

r-x
mask::r-x
other::---
после чего стартуем squid

StarЫЙ

snorlov писал(а):Немного я тебе наврал
изначально должно быть
chown -R root:wheel /var/db/samba/winbindd_privileged
chmod -R 750 /var/db/samba/winbindd_privileged
перезапускаем самбу и убеждаемся, что она работает winbind не падает
и только потом включив acl делаешь
setfacl -m gr-x /var/db/samba/winbindd_privileged
результат
getfacl /var/db/samba/winbindd_privileged
#owner:root
#group:wheel
user::rwx
group::r-x
groupr-x
mask::r-x
other::---
после чего стартуем squid

В общем так я делал как вы сказали, после включения acl винбинд вылетел сразу, я просто поверх сделал
chown -R root:wheel /var/db/samba/winbindd_privileged
chmod -R 750 /var/db/samba/winbindd_privileged
получилось так
pr01# getfacl /var/db/samba/winbindd_privileged
#file:/var/db/samba/winbindd_privileged
#owner:0
#group:0
user::rwx
user:root:rwx # effective: r-x
user

rwx # effective: r-x
group::r-x
group:wheel:rwx # effective: r-x
group

r-x
mask::r-x
other::---
После этого winbind не вылетает, а сквид все тамже стоит

snorlov · Непрочитанное сообщение **snorlov** » 2009-06-30 22:54:08

А в /var/db/samba/winbindd_privileged файл = pipe есть или нет, и еще проверьте работу winbind. Т.е. аутенфикацию пользователей он делает или же нет, id <имя пользовтаеля>, getent passwd, getent group, показывает все нормально или же ничего. Да и вот еще что, ntlm_auth используйте из поставки самбы, а не из поставки squid'а, они в разных каталогах находятся...

StarЫЙ · Непрочитанное сообщение **StarЫЙ** » 2009-07-01 7:30:57

Привет snorlov

Все просто решилось, я просто удалил /usr/local/squid/logs/access.log и перезагрузился сквид при следующей презагрузке заново создал его, и перестал вылетать. теперь все нормально работает, Самс трафик отбражает по пользователям, единственное не могу понять когда народ хочет посмотреть статистику не может залогиниться через самс.

Cancer · Непрочитанное сообщение **Cancer** » 2009-07-01 9:17:30

StarЫЙ писал(а):Привет snorlov

Все просто решилось, я просто удалил /usr/local/squid/logs/access.log и перезагрузился сквид при следующей презагрузке заново создал его, и перестал вылетать. теперь все нормально работает, Самс трафик отбражает по пользователям, единственное не могу понять когда народ хочет посмотреть статистику не может залогиниться через самс.

может с раскладкой путают?

StarЫЙ · Непрочитанное сообщение **StarЫЙ** » 2009-07-01 9:49:31

Cancer писал(а): может с раскладкой путают?

Нет не сраскладкой все ровно, у меня подозрение на скрипты самса, потому что аутентификация в NTLM решилась таким способом.

Cancer · Непрочитанное сообщение **Cancer** » 2009-07-01 22:52:48

блин где то на http://sams.permlug.org/ читал, там подобная проблема была, ребята ее как то решили...

qwertykma

Когда получаю билет, он выдается на неделю, а что будет через неделю?

StarЫЙ

qwertykma писал(а):Когда получаю билет, он выдается на неделю, а что будет через неделю?

Все будет в норме. Стоит уже с месяц ничего не просит и юзеров проверяет.

Cancer · Непрочитанное сообщение **Cancer** » 2009-08-04 8:57:49

Решение проблемы с тем что если пользователь на русской раскладке и его нету в самсе, то сквид его пускал в инет
раскоментим строку http_access deny all

Код: Выделить всё

#  TAG: http_access
#       Allowing or Denying access based on defined access lists
#
#       Access to the HTTP port:
#       http_access allow|deny [!]aclname ...
#
#       NOTE on default values:
#
#       If there are no "access" lines present, the default is to deny
#       the request.
#
#       If none of the "access" lines cause a match, the default is the
#       opposite of the last line in the list.  If the last line was
#       deny, the default is allow.  Conversely, if the last line
#       is allow, the default will be deny.  For these reasons, it is a
#       good idea to have an "deny all" or "allow all" entry at the end
#       of your access lists to avoid potential confusion.
#
#Default:
http_access deny all

forum.lissyara.su

Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Услуги хостинговой компании Host-Food.ru

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM

Re: Обсуждение SQUID+SAMS with NTLM