91 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]
pgserious пишет:
Kettler пишет:

Всё проверенно на debian 6 но говорю сразу глюки есть squid + ad (я отказался от затеи)

На предприятии работает связка AD (WinServer 2008), samba 3.5.6, debian 6, squid 2.7. Проблемы только с наследованием прав на сетевом диске самбы. Squid работает без нареканий (интернет раздаётся в зависимости от группы в AD).
Связка работает уже полгода.

Скок клиентов?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

92 Ответ от Nigelist (26.12.2011 08:12:52 отредактировано Nigelist)

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]

Kettler, не подскажете по команде net? Вроде как команда

 Консоль:
net ads join -U samba

Присоединяет к домену как пользователя домена, а как можно присоединить как дополнительный контроллер домена?

pgserious, а не могли бы вы пояснить тонкости ввода Debian в домен AD? Правда в моем случае это?
Windows Server 2003 - как основной контроллер домена
Debian Squezee 6.0.3 - как дополнительный контроллер домена, на нем Squid3 и Samba3 с последними обновлениями.

93 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

по поводу как "дополнительный контроллер домена"  я жду samba 4

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

94 Ответ от Nigelist

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]

Kettler, а что, samba3 нельзя ввести как дополнительный контроллер домена?

95 Ответ от Nigelist

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]

Kettler, еще один вопрос. При установке Squid3 должен добавляться пользователь squid? А то чего-то не нашел ни пользователя, ни группы.

96 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

точно не помню но вроде работает под пользователем proxy

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

97 Ответ от Nigelist

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]

Kettler, ок спасибо, буду пробовать.

98 Ответ от Nigelist

  • Nigelist
  • Nigelist
  • Добрый Санта
  • Неактивен
  • Откуда: Тараз
  • Зарегистрирован: 15.05.2010
  • Сообщений: 2,509
  • Репутация : [ 61 | 1 ]

Kettler, гляньте пожалуйста конфиг Squid, нет ли в нем ошибок?

+ открыть спойлер

 Консоль:
####### Configuration File #######
####### cache manager
cache_mgr administrator@pharmlider.loc

####### kerberos authentication
auth_param negotiate program /usr/lib/squid3/squid_kerb_auth -d -s HTTP/appserver.pharmlider.loc
auth_param negotiate children 10
auth_param negotiate keep_alive on

####### provide access via ldap for clients not authenticated via kerberos
auth_param basic program /usr/lib/squid3/squid_ldap_auth -R \
    -b "dc=pharmlider,dc=loc" \
    -D administrator@pharmlider.loc \
    -w "p@ssw0rd" \
    -f sAMAccountName=%s \
    -h taraz.pharmlider.loc
auth_param basic children 10
auth_param basic realm Internet Proxy
auth_param basic credentialsttl 1 minute

####### ldap authorizations
# restricted proxy access logged
external_acl_type internet_users %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
    -b "dc=pharmlider,dc=loc" \
    -D administrator@pharmlider.loc \
    -w "p@ssw0rd" \
    -f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users log,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
    -h taraz.pharmlider.loc
# full proxy access no logging
external_acl_type internet_users_full_nolog %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
    -b "dc=pharmlider,dc=loc" \
    -D administrator@pharmlider.loc \
    -w "p@ssw0rd" \
    -f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full nolog,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
    -h taraz.pharmlider.loc
# full proxy access logged
external_acl_type internet_users_full_log %LOGIN /usr/lib/squid3/squid_ldap_group -R -K \
    -b "dc=pharmlider,dc=loc" \
    -D administrator@pharmlider.loc \
    -w "p@ssw0rd" \
    -f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=Internet Users Full log,ou=Security Groups,ou=Taraz Users,dc=pharmlider,dc=loc))" \
    -h taraz.pharmlider.loc

####### acl for proxy auth and ldap authorizations
acl auth proxy_auth REQUIRED
# format "acl, aclname, acltype, acltypename, activedirectorygroup"
acl RestrictedAccessLog external internet_users Internet\ Users\ log
acl FullAccessNoLog external internet_users_full_nolog Internet\ Users\ Full\ nolog
acl FullAccessLog external internet_users_full_log Internet\ Users\ Full\ log
acl whitelistsites url_regex -i "/etc/squid3/whitelist.list"
acl blockedsites url_regex -i "/etc/squid3/blocklist.list"

####### squid defaults
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl SSL_ports port 443
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost

####### enforce auth: order of rules is important for authorization levels
no_cache deny whitelistsites
http_access allow whitelistsites
http_access allow FullAccessNoLog auth
http_access allow FullAccessLog auth
http_access deny blockedsites
http_access allow RestrictedAccessLog auth

####### logging
# don't log whitelistsites, FullAccessNoLog
access_log /var/log/squid3/access.log squid !whitelistsites !FullAccessNoLog

####### squid defaults
http_access deny all
http_port 3128
hierarchy_stoplist cgi-bin ?
coredump_dir /var/spool/squid3
refresh_pattern ^ftp:            1440    20%    10080
refresh_pattern ^gopher:        1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?)    0    0%    0
refresh_pattern .            0    20%    4320

99 Ответ от k0rven

  • k0rven
  • Посетитель
  • Неактивен
  • Откуда: Уфа
  • Зарегистрирован: 05.11.2010
  • Сообщений: 7
  • Репутация : [ 2 | 0 ]

Думаю нужно знать некоторые полезные команды при настройке squid:
после редактирования конфига обязательно используйте вот эту команду: squid -k parse, она проверит файл на наличие синтаксических ошибок. Для того, чтобы squid применил внесенные в конфиг изменения без перезапуска самого "себя")), т.е просто перечитал свой конфиг и применил изменения, делаем так:

squid -k reconfigure.

Я кстати написал о том, как я настраивал squid на работы с AD вот ссылка http://www.artcom-ufa.ru/posts/2012/07/ … oika-squid

+ Nigelist

Сайт k0rven