forum.lissyara.su

На сервере домен на samba3, а так же squid3. Часть пользователей регистрируется в домене, часть нет (используют локальные записи). На squid настроена ntlm и basic авторизация через хелпер от самбы ntlm_auth.
Браузер IE: для доменных пользователей работает ntlm, для недоменных вылетает запрос пользователь, пароль, домен. Причем, до хелпера прописанного как basic дело даже не доходит. Соответственно необходимо указывать имя домена. Если заремить ntlm и оставить только basic хелпер, то IE авторизуется через него без указания имени домена. Как сделать, чтобы IE для недоменных пользователей использовал basic авторизацию минуя ntlm?

Надо наверное для этих пользователей отключить на клиенте windows аутенйикацию, попробуй поставить оперу или лис, которые не должны уметь ntlm-аутенфикацию и посмотреть

drpooh писал(а):На сервере домен на samba3, а так же squid3. Часть пользователей регистрируется в домене, часть нет (используют локальные записи). На squid настроена ntlm и basic авторизация через хелпер от самбы ntlm_auth.
Браузер IE: для доменных пользователей работает ntlm, для недоменных вылетает запрос пользователь, пароль, домен. Причем, до хелпера прописанного как basic дело даже не доходит. Соответственно необходимо указывать имя домена. Если заремить ntlm и оставить только basic хелпер, то IE авторизуется через него без указания имени домена. Как сделать, чтобы IE для недоменных пользователей использовал basic авторизацию минуя ntlm?

Конфиг сквиды в студию.

кусок конфига: Проверял на IE 6.0.290.5503, Opera 9.26, Mozilla Firefox 2.0.0.8. Нужно работая под локальным пользователем зарегится на прокси используя доменную учетку без указания имени домена.
Если заремить первые две строчки конфига про ntlm, то все три браузера работают через Basic схему и не требуют к имени пользователя добавлять имя домена.
Если включить ntlm схему, то IE проверяет через неё и требует имя домена, до basic дело не доходит. Mozilla Firefox использует ntlm схему но(!) не требует ввода имени домена. Opera использует basic схему.

Можно пропробовать провести аутенфикацию через группу Domain users, она у тебя должна быть
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --reqiure-membership-of="имя домена"\\"Domain Users"
Ну и конечно посмотреть на параметр в конфиге самбы
winbind use default domain = yes/no
И вообще посмотреть что выдает wbinfo -u, а именно пользователя или домен<разделитель>пользователя
У меня строчка в smb.conf закоментирована, а wbinfo выдает пользователей без домена...

snorlov писал(а):Можно пропробовать провести аутенфикацию через группу Domain users, она у тебя должна быть
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --reqiure-membership-of="имя домена"\\"Domain Users"
Ну и конечно посмотреть на параметр в конфиге самбы
winbind use default domain = yes/no
И вообще посмотреть что выдает wbinfo -u, а именно пользователя или домен<разделитель>пользователя
У меня строчка в smb.conf закоментирована, а wbinfo выдает пользователей без домена...

В конфиге самбы:
winbind use default domain = yes
wbinfo -u не работает, т.к. домен именно на этой машине, его изображает самба. Но при этой wbinfo -a работает. И ntlm_auth работает. Где-то читал, что это нормальное поведение, что winbindd не предназначен для обращения к самбовому контроллеру домена.

Тут http://support.microsoft.com/kb/264921/en-us прочитал вот это:

If both Basic and Windows NT Challenge/Response are supported, the browser determines which method is used. If the browser supports Windows NT Challenge/Response, it uses this method and does not fall back to Basic. If Windows NT Challenge/Response is not supported, the browser uses Basic.

Попробую еще конечно reqiure-membership-of...

столкнулся с подобным вопросом, по группа не хочеться делать.
пока изучаю ответы всезнаюшего гугла
Вы как-то решили вопрос?

Нет, не решил. Пока в заботах отложил этот вопрос. Хотя вопрос актуален.