Squid Authentifizierungsmethoden

[ldi91]

Ich würde gerne wissen, wie ich den squid eine Auth.(nicht über IPs) machen kann. Ich will das diese Authmethode nicht umständlcih ist, also keine Passworteingabe beim Start von Firefox. Ich würde diese Auth Methode gerne unter windows und Linux nutzen können.
Hat jemand eine Idee was man da am besten verwendet?

[LKH]

Hi,

also mit Windows-Clients funktioniert das mit LDAP über PAM recht gut, wenn ein ADS genutzt wird. Mit Linux-Clients geht das IMHO genauso, wenn dort die Authentifizierung über LDAP geregelt wird. Ansonsten gibt es noch Module für SMB/MSNT und alles für das es ein PAM gibt.

Wenn du dann mal deine Infrastruktur beschreibst lässt sich da mehr sagen. Gehen tut es auf jeden Fall ... :p

[ldi91]

Für die Windows-Rechner steht ein DC zur Verfügung auf Debian-Basis. Die Linuxrechner haben NIS. 2 komplett verschiedene Systeme. wie kann ich ein Login-Interface an den Browser schicken, falls man nicht eingeloggt ist, so ein Art webinterface für den Proxy Login?

[bla!zilla]

DCs auf Debian Basis gibt es nicht, außer du hast schon Samba 4 im Einsatz. Du hast also auf der einen Seite NIS und auf der anderen Seite eine emulierte NT4 Domäne. Keine gute Ausgangslage. Ich empfehle dir ein LDAP Backend für den Samba aufzubauen, und deine User für die Linux-Welt auch in diesem LDAP zu pflegen. Dann kannst du die User an diesem zentralen LDAP authentifizieren.

[ldi91]

ok ich versuch ein Ldap Server aufzubauen.

BTW:
Wie kann ich eine Passwort-authentifizierung mit Squid machen? So dass man ein passwort eingeben Muss, bevor man Surft?

[bla!zilla]

*hüstel*

Erster Hit bei Google (http://www.squid-cache.org/Doc/FAQ/FAQ-23.html).... Und dazu auch noch aus der Squid FAQ.

[ldi91]

so ich habe mir überlegt squid mit digest_pw_auth laufen zu lassen.

meine Config:

cache_peer 192.168.123.254 parent 3128 3130
cache_mem 4 GB
cache_dir ufs /squid 4200 16 256

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

acl localhost src 127.0.0.1/255.255.255.255

cache_access_log /web/logs/proxy_log
cache_log /web/logs/cache_log
cache_store_log /web/logs/store_log
cache_swap_log /web/logs/swap_log
emulate_httpd_log on
error_directory /usr/share/squid/errors/English
cache_mgr webmaster@lusoft.org


acl all src 0/0

auth_param digest program /usr/sbin/digest_pw_auth /etc/squid/digest
auth_param digest children 5
auth_param digest realm Squid proxy-caching web server
auth_param digest nonce_garbage_interval 5 minutes
auth_param digest nonce_max_duration 30 minutes
#http_access allow digest
http_access deny all



Ich weis jetzt nicht wie ich die auth_Methode dazu bringe ein Passwort anzufordern. Außerdem ist wie ihr seht die Methode noch nicht richtig implantiert. Wie muss der Syntax von der /etc/squid/digest aussehen?

[ldi91]

so gelöst:
cache_peer 192.168.123.254 parent 3128 3130
cache_mem 4 GB
cache_dir ufs /squid 4200 16 256

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on

acl localhost src 127.0.0.1/255.255.255.255

cache_access_log /web/logs/proxy_log
cache_log /web/logs/cache_log
cache_store_log /web/logs/store_log
cache_swap_log /web/logs/swap_log
emulate_httpd_log on
error_directory /usr/share/squid/errors/English
cache_mgr webmaster@lusoft.org


acl all src 0/0

auth_param digest program /usr/sbin/digest_pw_auth /etc/squid/digest
auth_param digest children 5
auth_param digest realm FFN-D1
auth_param digest nonce_garbage_interval 5 minutes
auth_param digest nonce_max_duration 30 minutes

acl foo proxy_auth REQUIRED
http_access allow foo
http_access deny all
http_access deny all

[ldi91]

Ich habe das Problem, wenn ich nun die Authentifikation auf bestimmte User beschränken will, das es zu einem Fehler kommt.


...
acl iplevel_2 proxy_auth REQUIRED
acl iplevel_2 ident lukas
...

diese beiden Befehle hintereinander sorgen für den Fehler, aber sobald ich den 1. herausnehme wird kein Anmelde-Fenster angezeit.



Reloading WWW-proxy squid 2006/12/29 14:43:44| aclParseAclLine: ACL 'iplevel_2' already exists with different type.
FATAL: Bungled squid.conf line 33: acl iplevel_2 ident lukas
Squid Cache (Version 2.5.STABLE10): Terminated abnormally.
2006/12/29 14:43:46| aclParseAclLine: ACL 'iplevel_2' already exists with different type.
FATAL: Bungled squid.conf line 33: acl iplevel_2 ident lukas
Squid Cache (Version 2.5.STABLE10): Terminated abnormally.
failed

wie kebomme ich den befehl so unter, dass es nicht vom Squid als eigene ACL erkannt wird sondern eher als eine Einschränkung der ACL?