31 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
Kettler пишет:

А мне кажется что просто закрыты порты между squid  ------ ad

На шлюзе, порты все открыты. На Ubuntu - где samba+ldap (он сам его конфигурит), там iptables пустой.

Vadimsky пишет:

Значит нужно организовать синхронизацию LDAP с NT.
Какая у лдап конфига?

где посмотреть?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

32 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Вот со шлюза

+ открыть спойлер

 Консоль:
# Всем скорость от 1 Мбит/c. Входящая и исходящая.
NUMBERS_ALL="192.168.3.12 192.168.3.10 192.168.3.123 192.168.1.180 192.168.1.178 192.168.1.177 192.168.1.186 192.168.2.100 192.168.3.247 192.168.3.245  192.168.3.242 192.168.3.100 192.168.1.162 192.168.1.190"


# Всем скорость от 1 Мбит/c до 8 Мбит/c. Входящая и исходящая.
NUMBERS_PRIV="192.168.2.232 192.168.3.114 192.168.2.101 192.168.3.200 192.168.3.253 192.168.3.201 192.168.3.223 192.168.1.179  192.168.3.244 192.168.3.246 192.168.2.211 192.168.3.78 192.168.1.161 192.168.2.135 192.168.3.79 192.168.1.166 192.168.3.76 192.168.2.82 192.168.1.173 192.168.2.81 192.168.2.65"


NUMBERS_TEST="192.168.1.151 192.168.3.249 192.168.3.230 192.168.2.29 192.168.3.250 192.168.2.163 192.168.2.250 192.168.2.123 192.168.3.243 192.168.3.3"

################ Подключаем все модулю и все запрещаем в фаирволе ###############
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr
modprobe iptable_nat
modprobe ip_conntrack
modprobe ip_conntrack_ftp
modprobe ip_nat_ftp
iptables -F
iptables -F -t nat
iptables -F -t mangle

iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP

################# Маскарадинг в инет и локалку ###############################
iptables --table nat --append POSTROUTING --out-interface vlan3 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface vlan4 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface vlan5 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

############################## MAPPING PORTS XEN SERVER FROM INET #####################################
iptables -t nat -A PREROUTING -i eth1  -p tcp --dport 3389 -j DNAT --to-destination 192.168.3.79
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.79 -p tcp -m tcp --dport 3389 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.79 -p tcp -m tcp --sport 3389 -j ACCEPT
#######################################################################################################

################################  VPN SERVER #########################################################
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 1723 -j DNAT --to-destination 192.168.3.223:1723
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 1723 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 1723 -j ACCEPT

iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 47 -j DNAT --to-destination 192.168.3.223:47
iptables -A FORWARD -i eth1 -o vlan3 -d 192.168.3.223 -p tcp -m tcp --dport 47 -j ACCEPT
iptables -A FORWARD -i vlan3 -o eth1 -s 192.168.3.223 -p tcp -m tcp --sport 47 -j ACCEPT
#####################################################################################################

#Выравниваем MTU
iptables -I FORWARD -p tcp --tcp-flags SYN,RST SYN -j TCPMSS --clamp-mss-to-pmtu

#############Firewall#############
# Отбрасывать все пакеты, которые не могут быть идентифицированы и поэтому не могут иметь определенного статуса.
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A FORWARD -m state --state INVALID -j DROP

# Принимать все пакеты, которые инициированы из уже установленного соединения, и имеющим признак ESTABLISHED.
# Состояние ESTABLISHED говорит о том, что это не первый пакет в соединении.
iptables -A INPUT   -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT

# Приводит к связыванию системных ресурсов, так что реальных обмен данными становится не возможным.
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
iptables -A OUTPUT -p tcp ! --syn -m state --state NEW -j DROP

#разрешаем локальный траффик для локальной сети
iptables -A INPUT -i lo -j ACCEPT
iptables -A OUTPUT -o lo -j ACCEPT

iptables -I INPUT -p gre -j ACCEPT

iptables -A INPUT -i vlan3 -j ACCEPT
iptables -A OUTPUT -o vlan3 -j ACCEPT

iptables -A INPUT -i vlan4 -j ACCEPT
iptables -A OUTPUT -o vlan4 -j ACCEPT

iptables -A INPUT -i vlan5 -j ACCEPT
iptables -A OUTPUT -o vlan5 -j ACCEPT

#Разрешаем гулять всем подсетям
iptables -A FORWARD -i vlan4 -o vlan3 -j ACCEPT
iptables -A FORWARD -i vlan3 -o vlan4 -j ACCEPT

iptables -A FORWARD -i vlan4 -o vlan5 -j ACCEPT
iptables -A FORWARD -i vlan5 -o vlan4 -j ACCEPT

iptables -A FORWARD -i vlan3 -o vlan5 -j ACCEPT
iptables -A FORWARD -i vlan5 -o vlan3 -j ACCEPT

# ICMP разрешаем пинг с локальной сети провайдера до сервера
iptables -A INPUT -i $inet -p icmp -j ACCEPT
iptables -A OUTPUT -o $inet -p icmp -j ACCEPT


#Разрешаем ICMP пакеты для vlan3, vlan4 в интернет
iptables -A FORWARD -i $inet -o vlan3 -p icmp -j ACCEPT
iptables -A FORWARD -i vlan3 -o $inet -p icmp -j ACCEPT

iptables -A FORWARD -i $inet -o vlan4 -p icmp -j ACCEPT
iptables -A FORWARD -i vlan4 -o $inet -p icmp -j ACCEPT

iptables -A FORWARD -i $inet -o vlan5 -p icmp -j ACCEPT
iptables -A FORWARD -i vlan5 -o $inet -p icmp -j ACCEPT

# Разрешаем серверу http, https, ssh, ftp (открываем порты 80,443,21,22)
iptables -A INPUT -i $inet -p tcp --sport 465 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --dport  465 -j ACCEPT

#HTTP
iptables -A INPUT -i $inet -p tcp --sport 80 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --dport  80 -j ACCEPT
iptables -A INPUT -i $inet -p tcp --dport 80 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --sport  80 -j ACCEPT
# passive ftp
##########################################################
iptables -A INPUT -p tcp -m tcp --dport 21 -j ACCEPT # ftp-сервер
iptables -A OUTPUT -p tcp -m tcp --sport 21 -j ACCEPT

iptables -A INPUT -p tcp -m tcp --dport 20 -j ACCEPT # ftp-data для активного режима
iptables -A OUTPUT -p tcp -m tcp --sport 20 -j ACCEPT

iptables -A INPUT -p tcp -m tcp --dport 60000:60235 -j ACCEPT
iptables -A OUTPUT -p tcp -m tcp --sport 60000:60235 -j ACCEPT
###########################################################

# SSH
iptables -A INPUT -i $inet -p tcp --dport 22 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --sport  22 -j ACCEPT

iptables -A INPUT -i $inet -p tcp --dport 443 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --sport  443 -j ACCEPT


iptables -A INPUT -i $inet -p tcp --dport 3050 -j ACCEPT
iptables -A OUTPUT -o $inet -p tcp --sport  3050 -j ACCEPT
#DNS
iptables -A INPUT -i $inet -p udp --dport 53 -j ACCEPT
iptables -A OUTPUT -o $inet -p udp --sport  53 -j ACCEPT

iptables -A INPUT -i $inet -p udp --sport 53 -j ACCEPT
iptables -A OUTPUT -o $inet -p udp --dport  53 -j ACCEPT

#DHCP
iptables -A INPUT -i $inet -p udp --dport 67 -j ACCEPT
iptables -A OUTPUT -o $inet -p udp --sport  67 -j ACCEPT

iptables -A INPUT -i $inet -p udp --sport 67 -j ACCEPT
iptables -A OUTPUT -o $inet -p udp --dport  67 -j ACCEPT

#############Шейпер#############

#Режем входящую
NUMBERS_VLAN="vlan3 vlan4 vlan5"
for number_vl in `echo $NUMBERS_VLAN`
do
echo $number_vl

tc qdisc del dev $number_vl root
tc qdisc add dev $number_vl root handle 1: htb

tc class add dev $number_vl parent 1: classid 1:1 htb rate 100Mbit

tc class add dev $number_vl parent 1:1 classid 1:100 htb rate 100Mbit ceil 100Mbit burst 15k
tc class add dev $number_vl parent 1:1 classid 1:90 htb rate 1Mbit ceil 8Mbit burst 15k
tc class add dev $number_vl parent 1:1 classid 1:80 htb rate 1Mbit ceil 3Mbit burst 15k
tc class add dev $number_vl parent 1:1 classid 1:70 htb rate 200Kbit ceil 3Mbit burst 15k

tc qdisc add dev $number_vl parent 1:100 handle 100: sfq perturb 10
tc qdisc add dev $number_vl parent 1:90 handle 90: sfq perturb 10
tc qdisc add dev $number_vl parent 1:80 handle 80: sfq perturb 10
tc qdisc add dev $number_vl parent 1:70 handle 70: sfq perturb 10

tc filter add dev $number_vl parent 1:0 protocol ip prio 1 handle 100 fw classid 1:100
tc filter add dev $number_vl parent 1:0 protocol ip prio 2 handle 90 fw classid 1:90
tc filter add dev $number_vl parent 1:0 protocol ip prio 3 handle 80 fw classid 1:80
tc filter add dev $number_vl parent 1:0 protocol ip prio 4 handle 70 fw classid 1:70
done

#Между подсетями на 100
iptables -t mangle -A FORWARD -i vlan3 -o vlan4 -j MARK --set-mark 100
iptables -t mangle -A FORWARD -i vlan3 -o vlan5 -j MARK --set-mark 100

iptables -t mangle -A FORWARD -i vlan4 -o vlan3 -j MARK --set-mark 100
iptables -t mangle -A FORWARD -i vlan4 -o vlan5 -j MARK --set-mark 100

iptables -t mangle -A FORWARD -i vlan5 -o vlan3 -j MARK --set-mark 100
iptables -t mangle -A FORWARD -i vlan5 -o vlan4 -j MARK --set-mark 100


###############################################################################
#PRIV
for number_priv in `echo $NUMBERS_PRIV`
do
  iptables -t mangle -A FORWARD -s $number_priv -o $inet -j MARK --set-mark 90
  iptables -t mangle -A FORWARD -i $inet -d $number_priv -j MARK --set-mark 90
  iptables -A FORWARD -s $number_priv -o $inet -j ACCEPT
  iptables -A FORWARD -i $inet -d $number_priv -j ACCEPT
done

#### ALL
for number_all in `echo $NUMBERS_ALL`
do
  iptables -t mangle -A FORWARD -s $number_all -o $inet -j MARK --set-mark 80
  iptables -t mangle -A FORWARD -i $inet -d $number_all -j MARK --set-mark 80
  iptables -A FORWARD -s $number_all -o $inet -j ACCEPT
  iptables -A FORWARD -i $inet -d $number_all -j ACCEPT
done
#############################################################################

#for number_test in `echo $NUMBERS_TEST`
#do
#iptables -t mangle -A FORWARD -s $number_test -o $inet -p udp -m multiport --dport 80,443,110,25,143,5190 -j MARK --set-mark 70
#iptables -t mangle -A FORWARD -i $inet -d $number_test -p udp -m multiport --dport 80,443,110,25,143,5190 -j MARK --set-mark 70
#  iptables -t mangle -A FORWARD -s $number_test -o $inet -p tcp -m multiport --dport 80,443,110,25,143,5190 -j MARK --set-mark 70
#  iptables -t mangle -A FORWARD -i $inet -d $number_test -p tcp -m multiport --dport 80,443,110,25,143,5190 -j MARK --set-mark 70
#
#  iptables -A FORWARD -s $number_test -o $inet -p tcp -m multiport --dport 80,443,110,25,143,5190 -j ACCEPT
#  iptables -A FORWARD -i $inet -d $number_test -p tcp -m multiport --dport 80,443,110,25,143,5190 -j ACCEPT
#  iptables -A FORWARD -s $number_test -o $inet -p udp -m multiport --dport 80,443,110,25,143,5190 -j ACCEPT
#  iptables -A FORWARD -i $inet -d $number_test -p udp -m multiport --dport 80,443,110,25,143,5190 -j ACCEPT
#done


for number_test in `echo $NUMBERS_TEST`
do
  iptables -t mangle -A FORWARD -s $number_test -o $inet -j MARK --set-mark 70
  iptables -t mangle -A FORWARD -i $inet -d $number_test -j MARK --set-mark 70
  iptables -A FORWARD -s $number_test -o $inet -j ACCEPT
  iptables -A FORWARD -i $inet -d $number_test -j ACCEPT
done


#Режем исходящую
tc qdisc del dev $inet root
tc qdisc add dev $inet root handle 1: htb

tc class add dev $inet parent 1: classid 1:1 htb rate 100Mbit

tc class add dev $inet parent 1:1 classid 1:90 htb rate 1Mbit ceil 8Mbit burst 15k
tc class add dev $inet parent 1:1 classid 1:80 htb rate 1Mbit ceil 8Mbit burst 15k
tc class add dev $inet parent 1:1 classid 1:70 htb rate 1Mbit ceil 7Mbit burst 15k


tc qdisc add dev $inet parent 1:90 handle 90: sfq perturb 10
tc qdisc add dev $inet parent 1:80 handle 80: sfq perturb 10
tc qdisc add dev $inet parent 1:70 handle 70: sfq perturb 10

tc filter add dev $inet parent 1:0 protocol ip prio 1 handle 90 fw classid 1:90
tc filter add dev $inet parent 1:0 protocol ip prio 2 handle 80 fw classid 1:80
tc filter add dev $inet parent 1:0 protocol ip prio 3 handle 80 fw classid 1:70

sleep 1
/bin/sh /root/script/banned.sh

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

33 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Kettler, да, тема шикарная, но всётаки хотелось бы недогадками, а текущий конфиг, с текущего шлюза...

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

34 Ответ от XliN (07.01.2012 16:42:57 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Чуть продвинулся. Теперь SQUID видит пользователей из LDAP. Т.е. у пользователя выползает окошко, он вводит пароль и логин и тем самым получает инет.
Вот такая запись в squid.conf

 Консоль:
/usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

Это хорошо, но как сделать еще проверку по группе. Что бы не все получали, а только те что в группе InternetAccess?

Пробую

 Консоль:
/usr/lib/squid/squid_ldap_group -R -b "dc=smb,dc=mgkb1,dc=local" -D "sel_ldap@smb.mgkb1.local" -w XXXX -f "(&(memberUid=%v)(cn=%a))" -h 192.168.2.82 -v 3 -p 389

ввожу sel_ldap InternetAccess и получаю ошибку

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

35 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Не ужели ни кто не работает с openldap и squid? Глухо как в танке? ac  ac  ac

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

36 Ответ от Kettler (07.01.2012 20:09:14 отредактировано Kettler)

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Если честно щас даже в падлу что то пытаться проверять и тестить. Вот как нибудь на днях можно будет.
Может другие что подскажут.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

37 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Вот кусок для раздумий. Моя группа. Как видно в ней два пользователя.

 Консоль:
dn: CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local
objectClass: top
objectClass: group
cn: ia
instanceType: 4
whenCreated: 20120107143210.0Z
uSNCreated: 7832
name: ia
objectGUID:: Z/Q2m7LGsU25nwoHMOX9xw==
objectSid:: AQUAAAAAAAUVAAAA3vytZwYlvS1Jf0ClXwQAAA==
sAMAccountName: ia
sAMAccountType: 268435456
groupType: -2147483646
objectCategory: CN=Group,CN=Schema,CN=Configuration,DC=smb,DC=mgkb1,DC=local
member: CN=sel_ldap,CN=Users,DC=smb,DC=mgkb1,DC=local
member: CN=proba,CN=Users,DC=smb,DC=mgkb1,DC=local
whenChanged: 20120107153430.0Z
uSNChanged: 7899
distinguishedName: CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

38 Ответ от drBatty

  • drBatty
  • drBatty
  • Пользователь
  • Неактивен
  • Откуда: Петербург
  • Зарегистрирован: 20.02.2010
  • Сообщений: 17,053
  • Репутация : [ 451 | 73 ]
Vadimsky пишет:

Дефлтная дана чисто для примера и для простых ситуаций. Там много лишнего для нашего случая. Тоесть должно остаться только самое необходимое.
Даже не остаться, повторюсь - создаём пустой squid.conf и далее построчно внего добавляем.
Если что т опропустим или напишем нитак, то про старте сквид про это скажет.
Это очень полезно делать именно так, во-первых лучше познаётся ег овнутренняя суть, во вторых в правилах будет всё только самое нужное и никакого мусора.

извините за оффтоп, но почему нельзя использовать нормальный редактор с поддержкой подсветки и складок? Он вам и покажет "без лишнего".

Карусель разнесло по цепочке за час
Всех известий — конец
Да, весна началась!
(всё к лицу подлецу, как родному отцу, не рассказывай, батя, и так всё пройдёт)

39 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

А вот сам пользователь

 Консоль:
dn: CN=proba,CN=Users,DC=smb,DC=mgkb1,DC=local
objectClass: top
objectClass: person
objectClass: organizationalPerson
objectClass: user
cn: proba
givenName: proba
instanceType: 4
whenCreated: 20120107153409.0Z
displayName: proba
uSNCreated: 7889
name: proba
objectGUID:: +fCYR+LfpUi4zXJsNMniwQ==
badPwdCount: 0
codePage: 0
countryCode: 0
badPasswordTime: 0
lastLogoff: 0
lastLogon: 0
primaryGroupID: 513
objectSid:: AQUAAAAAAAUVAAAA3vytZwYlvS1Jf0ClYQQAAA==
accountExpires: 9223372036854775807
logonCount: 0
sAMAccountName: proba
sAMAccountType: 805306368
userPrincipalName: proba@smb.mgkb1.local
objectCategory: CN=Person,CN=Schema,CN=Configuration,DC=smb,DC=mgkb1,DC=local
pwdLastSet: 129704240490000000
userAccountControl: 66048
whenChanged: 20120107153410.0Z
uSNChanged: 7897
memberOf: CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local
memberOf: CN=InternetAccess,CN=Builtin,DC=smb,DC=mgkb1,DC=local
distinguishedName: CN=proba,CN=Users,DC=smb,DC=mgkb1,DC=local

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

40 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

А вот мужичок также парился, но разобрался http://forum.lafox.net/index.php?showtopic=18880. Башка реально кипит

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

41 Ответ от XliN (07.01.2012 22:02:18 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

С круппой разобрался, но сквиду на это наплевать. Все равно всех пользователей пускает. Не важно, есть он в группе или нет.

auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

external_acl_type ldap_users %LOGIN /usr/lib/squid/squid_ldap_group -f "(&(objectclass=person)(sAMAccountName=%v)(memberOf=CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "CN=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "XXXXXX" -h 192.168.2.82 -v 3 -p 389


auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 1 minutes


acl ldap_users proxy_auth REQUIRED
http_access allow ldap_users
http_access deny all

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

42 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

На сколько я могу судить сквит берёт пользователй из лдап, а лдап не синхронизирует с NT.
Такое ощущение, что лдап живёт своей жизнью.
Мне кажется проблема тут.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

43 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Vadimsky в точку сказал если домен на samba то nt надо включить дополнительным (забыл точное название).

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

44 Ответ от XliN (07.01.2012 22:03:56 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Ну вот и все...  ag  ag  ag  ag  Я очень рад. Все работает.

 Консоль:
Вот рабочий конфиг сквида
auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

external_acl_type ldap_users %LOGIN /usr/lib/squid/squid_ldap_group -f "(&(objectclass=person)(sAMAccountName=%v)(memberOf=CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "CN=Users,DC=smb,DC=mgkb1,DC=local" -D "sel_ldap@smb.mgkb1.local" -w "XXXXXX" -h 192.168.2.82 -v 3 -p 389


auth_param basic children 5
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 1 minutes

acl inetusers external ldap_users ia
http_access allow inetusers
http_access deny all

squid теперь интегрирован с AD на Samba4 и пускает только тех, кто в инетовской группе. Так что с Samba4 вполне реально работать, хоть и альфа.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

45 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Я тоже а теперь можно к переменным описание?

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

46 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
Kettler пишет:

Я тоже а теперь можно к переменным описание?

Это к кому вопрос?

З.Ы. Можно ли убрать окно авторизации?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

47 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Тебе. А окно тоже выскакивает?
Попробуй увеличить значение children если не поможет тогда упс.
Я сам в отказывался из за окна.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

48 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]
Kettler пишет:

Тебе. А окно тоже выскакивает?

Это все потом. Там на самом деле все просто, но для самбы четвертой и ее лдапу все по другому. Пришлось лопатить все дерево и изучать.

Kettler пишет:

Попробуй увеличить значение children если не поможет тогда упс.

А за что эта директива отвечает?

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

49 Ответ от XliN (07.01.2012 22:24:29 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Обнаружил проблему. Добавил в группу инетовскую уже ранее созданного пользователя и судя по конфигу сквида, через одну минуту должен появиться инет. Не сработало.  ac
Скорее всего из-за того что пользователь находится не по этому адресу CN=Users,DC=smb,DC=mgkb1,DC=local, а в OU=Ограниченные пользователи,CN=Users,DC=smb,DC=mgkb1,DC=local

Интересно, как тут будет с русскими букофками? ))))) Проверю потом.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

50 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

children это типо скок одновременно может обрабатывать запросов.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

51 Ответ от XliN (08.01.2012 17:33:35 отредактировано XliN)

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Во накопил пару вопросов по сквиду.
Если в конфиге добавляю параметр 

http_port 192.168.1.77:3128 transparent

То пользователей не пускает. Вообще никого. Хотя окошко авторизации не лезет.

Kettler пишет:

children это типо скок одновременно может обрабатывать запросов.

Не помогло. Поставил 100.

P.S. И вот еще, как правильно пробросить только 192.168.2.0/24 на прокси?

eth1-inet
eth0-vlan3-vlan4-vlan5
Вот так у меня люди ходят в инет... Подозреваю что есть лишние правила.

 Консоль:
iptables --table nat --append POSTROUTING --out-interface vlan3 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface vlan4 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface vlan5 -j MASQUERADE
iptables --table nat --append POSTROUTING --out-interface eth1 -j MASQUERADE

Пробовал добавлять выше
 Консоль:
iptables -t nat -A PREROUTING -i vlan5 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-port 3128

Не сработало.

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

52 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]
--=XliN=-- пишет:

Если в конфиге добавляю параметр

http_port 192.168.1.77:3128 transparent

То пользователей не пускает. Вообще никого. Хотя окошко авторизации не лезет.

Это параметр указывает вышестоящий прокси. Эт оможет быт ьпрокся прова, может свой, если он есть и порт и адрес указаны правильно, о работает, если вышестоящего прокси нет - то не работает соответсвенно.
Вот тут пример:
http://linuxforum.ru/viewtopic.php?pid=156512#p156512

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

53 Ответ от Denlookh

  • Denlookh
  • Denlookh
  • Пользователь
  • Неактивен
  • Откуда: Ufa-Moscow
  • Зарегистрирован: 05.08.2010
  • Сообщений: 474
  • Репутация : [ 9 | 0 ]

А кто айпишники раздает-то? Если юниксовый дхцпед- то, учитывая, что тинклиенты грузятся по pxe, в конфиге можно выделить секцию- при запросах от пхе (в DHCP протоколе pxe клиенты запрашивают особенными запросами, распознаются, как pxe-сетевки, в общем)- не раздавать им адрес шлюза. Если же клиентов не много, то можно выделить секцию по макам. Либо шлюс раздавать всем, но пхе-девайсам выделить пул, и этот пул не натить на шлюзе.

Black-metal ist krieg!
Hochlast ist krieg!

54 Ответ от Vadimsky

  • Vadimsky
  • Vadimsky
  • Философ
  • Неактивен
  • Откуда: Тула
  • Зарегистрирован: 21.02.2010
  • Сообщений: 2,913
  • Репутация : [ 61 | 2 ]

Так тоже можно. У меня кстати совмещенны оба эти варианта, DHCP стоит на шлюзе и тем кому в Инет нельзя, тем тупо даёт другие адреса, которые закрыты в iptables и Squid.

Истина ускользает от тех кто отказывается её видеть обоими глазами.
Талантам нужно помогать, бездарности пробьются сами.
В Туле настолько суровые парни, что вместо пены для бритья, используют пену монтажную.
cat /broken/hands > /dev/null

55 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Возник вопрос. Т.к. Squid настроен на выдачу инета только определенным людям в группе AD, появилась проблема.
Пользователи, которые заходят по RDP на 192.168.2.100 юзают программу ТМ "Здоровье", а она требует всегда обновления с сервера их компании. Как я выяснил тащит она их по http и естественно по 80 порту. Из-за прокси она выдает ошибку.

Можно ли как то это обойти? Самой программе не нашел функции.
Вот так я заворачиваю

 Консоль:
iptables -t nat -A PREROUTING -i vlan5 -s 192.168.2.100 -p tcp --dport 80 -j DNAT --to 192.168.1.77:3128
iptables -t nat -A PREROUTING -i eth1 -s 192.168.2.100 -p tcp --dport 80 -j REDIRECT --to-port 3128

Вот конфиг сквида

+ открыть спойлер

# created by SAMS _sams_ 2012-1-15 12:15:9
http_port 192.168.1.77:3128
auth_param basic program  /usr/lib/squid/squid_ldap_auth -b "dc=smb,dc=mgkb1,dc=local" -D sel_ldap@smb.mgkb1.local -w XXXXXX -f "(&(objectClass=person)(sAMAccountName=%s))" -u sAMAccountName -h 192.168.2.82 -p 389

external_acl_type ldap_users %LOGIN /usr/lib/squid/squid_ldap_group -f "(&(objectclass=person)(sAMAccountName=%v)(memberOf=CN=ia,CN=Builtin,DC=smb,DC=mgkb1,DC=local))" -R -b "OU=UsersDom,DC=smb,DC=mgkb1,DC=local" -D "reg3@smb.mgkb1.local" -w "reg3" -h 192.168.2.82 -v 3 -p 389


auth_param basic children 20
auth_param basic realm Internet Access MGKB1
auth_param basic credentialsttl 1 minutes

hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
#hosts_file /etc/hosts
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl inetusers external ldap_users ia
acl purge method PURGE
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
#acl lan src 127.0.0.1 192.168.1.77 192.168.2.0/24
http_access allow localhost
#http_access allow lan
http_access allow inetusers
http_access deny all

http_reply_access allow all
icp_access allow all

А это логи

+ открыть спойлер

327225040.127      4 192.168.2.100 TCP_DENIED/407 2294 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.259      0 192.168.2.100 TCP_DENIED/407 2282 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.267      0 192.168.2.100 TCP_DENIED/407 2282 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.274      0 192.168.2.100 TCP_DENIED/407 2282 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.281      0 192.168.2.100 TCP_DENIED/407 2282 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.288      0 192.168.2.100 TCP_DENIED/407 2282 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.349      0 192.168.2.100 TCP_DENIED/407 2279 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.371      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.389      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.406      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.430      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.447      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.465      0 192.168.2.100 TCP_DENIED/407 2280 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html
1327225040.483      0 192.168.2.100 TCP_DENIED/407 2287 POST http://trs.softrust.ru/l10/service.asmx - NONE/- text/html

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

56 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Помнишь был скрипт бан соц сети? Так берем его же за основу.

Такс

 Консоль:

#!/bin/bash
n=1;

nslookup softrust.ru >> /tmp/list.tmp;

awk '/Address:/ {if($2=="127.0.0.1#53"){} else{print $2 > «/var/whiteklist.ip» }}’ /tmp/nslookup.tmp

if [ -f /var/whitelist.ip ] ;
then
cat /var/whitelist.ip | while read line
do
iptables -t nat -I PREROUTING $n -p tcp -s 192.168.2.100 -d ${line} --dport 80 -j ACCEPT
let n=n+1;
done
fi
iptables -t nat -A PREROUTING -i vlan5 -s 192.168.2.100 -p tcp --dport 80 -j DNAT --to 192.168.1.77:3128
iptables -t nat -A PREROUTING -i eth1 -s 192.168.2.100 -p tcp --dport 80 -j REDIRECT --to-port 3128

Ну а так сам под себя подправишь.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

57 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Токо если ещё придёться в FORWARD добавить.

 Консоль:
iptables -A FORWARD  -s 192.168.2.100 -d ${line} -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD  -s ${line} -d 192.168.2.100 -p tcp --sport 80 -j ACCEPT

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.
+ XliN

58 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

костыль, но думаю сработает. ab биатлон кончится и сразу попробую. ab

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"

59 Ответ от Kettler

  • Kettler
  • Kettler
  • Пользователь
  • Неактивен
  • Зарегистрирован: 07.10.2010
  • Сообщений: 4,105
  • Репутация : [ 131 | 4 ]

Сработает сто пудов  smile
Не костыль а доработка напильником.

Ищу дополнительный заработок (удалёнка).
Пьянка без секса – признак алкоголизма.

60 Ответ от XliN

  • XliN
  • XliN
  • С нами Бог
  • Неактивен
  • Откуда: Белгород
  • Зарегистрирован: 23.04.2010
  • Сообщений: 4,524
  • Репутация : [ 93 | 1 ]

Не работает.
Вот все правила

 Консоль:
iptables -t nat -A PREROUTING -p tcp -s 192.168.2.100 -d 79.140.77.147 --dport 80 -j ACCEPT
iptables -t nat -A PREROUTING -i vlan5 -s 192.168.2.100 -p tcp --dport 80 -j DNAT --to 192.168.1.77:3128
iptables -t nat -A PREROUTING -i eth1 -s 192.168.2.100 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -A FORWARD  -s 192.168.2.100 -d 79.140.77.147 -p tcp --dport 80 -j ACCEPT
iptables -A FORWARD  -s 79.140.77.147 -d 192.168.2.100 -p tcp --sport 80 -j ACCEPT

MX 23.6 Libretto x86_64
Чем больше я работаю админом, тем больше понимаю, насколько волшебна фраза - "Нет технической возможности!"