Forum Debian Users Gang

Prześledź najlepiej tcpdumpem ruch, zapisz wynik do pliku pcap i otwórz w wiresharku, wtedy wszystko powinieneś mieć widoczne. Ewentualnie umieść tutaj plik pcap.

Zobacz lepiej, czy Squid pójdzie z autoryzacją  PAM, a usługę pam dla Squida puść przez ldap.
Będzie łatwiej, a jakby LDAP się zjebał, to przełączanie w PAM ldapa na radiusa czy SQL, to  5 minut roboty.
Pryz okazji błędy w PAM są w Debianie łatane przeważnie w 72 godziny,
czego o Squidzie nie można powiedzieć.
I jakbyś chciał zapiąć do ldap Postfixa, Sambę, autoryzację WWW czy VPNa,
to możesz podpiąć pod ta samą usługę PAM w 3 minuty, zamiast się certolić z konfigami poszczególnych usług, które z ldapem czasami chodzą lepiej, ale przeważnie  gorzej.

W dodatku PAM o wiele łatwiej testować i debugować.

Sznurki:
Teoria:
http://pl.wikipedia.org/wiki/Pluggable_Authentication_Modules

Praktyka:
https://wiki.debian.org/LDAP/PAM
http://www.lazysystemadmin.com/2010/08/here-steps-to-pam-authentication-for.html

EDIT:
Inne wyjście, które ldapa zjada na śniadanie, to autoryzacja  w Radius,
może sobie chodzić na Win2008, łatwo do niego podpiąć i Squida i PAM.
Jeśli w tej wersji [url=http://technet.microsoft.com/en-us/library/cc995218.aspx]Win2008 jest radius[/url], to chyba nawet można
go wydrapać myszką w AD.

W Linuxie autoryzację w radiusie obrobisz w 3 minuty:
http://wiki.squid-cache.org/ConfigExamples/Authenticate/Radius
http://freeradius.org/pam_radius_auth/

Jakby Win2008 skończył [url=http://support.microsoft.com/kb/314458/pl]tak[/url] :D, to  serwer Radiusa na Linuxie można ogarnąć w  godzinę.

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2013-11-23 14:26:15)

Nie koniecznie LDAP, ale system może paść albo dysk.
Jeszcze nie wymyślili takiego serwera, który nie potrafi się rypnąć

Raz w robocie miałem ślitaśny spiuper serwer Win2003, który zdechł z powodu jakiegoś wirusa, i było po danych na dysku - bazy MsSQL.
Była niezła jazda z reperacją tego dziadostwa, na szczęście był też backup wszystkich baz.
Ale nieczynna przez prawie dwa dni księgowość - bezcenne. :P

Dlatego na Twoim miejscu brałbym dwa graty z Linuxem albo lepiej OpenBSD,
żeby obsługiwały autoryzację radius, i zarówno Win-serwery jak i wszystkie  Linuxy podpiął pod tych radiusów.

Życie mnie nauczyło, żeby firmie Windows i jej produktom nie ufać nigdy i w żadnym stopniu.

Dlatego preferuję takie rozwiązania, które można bez problemu uruchomić na każdym systemie, i łatwo je naprawić albo zastąpić w razie awarii.

W PAM możesz podmienić konfig dla usługi w /etc/pam.d/, zrestartować usługę, i np po minucie masz czynną usługę, która 3 min wcześniej chodziła na ldap, a obecnie na radiusie albo sql.
W konfigach Squida w tym czasie nie zmieniasz nawet przecinka.

I radzę zamiast Ldapa, Radius, jest o cale niebo prostszy w obsłudze od ldapa,
a Windows 2008 ma wbudowany serwer radius (nie wiem, czy we wszystkich wersjach), w Linuxie/FreeBSD/OpenBSD masz Freeradiusa.

FreeRadius w akcji:

time radtest  -x -t chap  test  test localhost  1814  {hasełko-radiusa} 
Sending Access-Request of id 198 to 127.0.0.1 port 1812
    User-Name = "test"
    CHAP-Password = 0xc65ccdb919b863789f7605da2c228e2c53
    NAS-IP-Address = 127.0.0.1
    NAS-Port = 1814
    Message-Authenticator = 0x00000000000000000000000000000000
rad_recv: Access-Accept packet from host 127.0.0.1 port 1812, id=198, length=32
    Framed-IP-Address = 192.168.2.229
    Framed-IP-Netmask = 255.255.255.0

real    0m0.052s
user    0m0.032s
sys    0m0.019s

Konfiguracja pam_radius na dwa serwery:

127.0.0.1    secret             1
other-server    other-secret       3

Freeradiusa dla sprawdzenia postawiłem od zera w ciągu pół godziny
- działa z Mysql.

Autoryzacje da się podpiąć do wszystkich usług i serwerów, włącznie z Asteriskiem i Freeswitchem (telefonia voip) czy Ejabberd (Jabber),
a także uwierzytelniać miśków w większości routerów dostępnych na rynku.

Do tego "mega trudne" generowanie certów dla miśków, do uwierzytelnienia EAP-TLS:
http://deployingradius.com/documents/configuration/certificates.html


A tu konfiguracja Squida do pracy z Radiusem:
http://wiki.squid-cache.org/ConfigExamples/Authenticate/Radius

Także zamiast ldapa - radius i dwa piwa :D

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2013-11-24 12:42:11)