Newsgroup: it.comp.os.linux.sys
Titolo: Squid, studenti e buchi di NT (lunghetto)

Salve,
un mio cliente č una scuola superiore. PDC Win NT, Proxy server Linux (Squid
con smb_auth per autenticazione attraverso server Win). I login degli
studenti hanno i diritti dei puffi. Quando gli studenti si devono collegare
a Internet, il prof abilita su Win NT un login che ha i diritti per
utilizzare il proxy, con il quale gli studenti si loggano sul dominio NT. A
fine esercitazione, il prof disabilita l'utente su nt e a quel punto gli
studenti si devono per forza loggare con l'utente puffo che non č
autorizzato per l'utilizzo di squid. Cosa ti vado a scoprire??? Che se io mi
loggo con l'utente puffo e inserisco nella login del proxy (la box che mi
appare in ie) l'utente in grado di navigare, il proxy va anche se l'utente č
in quel momento disabilitato!!!!  Dato che  smb_auth funziona verificando se
riesce con un certo utente a leggere un file sulla netlogon di nt, questo
significa che un utente, anche se disabilitato da user manager di nt, puň
leggere un file su uno share nt!!! Questo ridimostra se ce n'era bisogno che
nt č una chiavica; mi sto chiedendo pero' ora 2 cose:
1) Qualcuno sa se Win 2000 Server non soffre di questo leggero buco?
2) Come fareste a risolvere questo problema?
Grazie per l'attenzione
Stefano

 2) Come fareste a risolvere questo problema?
Da quello che ho capito il problema non e' di NT ma di come Samba
gestisce i permessi. Ogni volta che tenti l'accesso Squid richiede una
login che poi "valida" su NT. Se fornisci una Login diversa da quella
con cui hai fatto login sulla tua macchina, Squid usera' quella login
per validare l'accesso. Ed il che non e' un problema di Windows, ma di
come viene gestito l'accesso da Squid.
Per altro, e' normale che tu possa fornire una Login diversa per accedere
ad una risorsa sulla rete indipendentemente da quella che hai usato per
accedere alla tua macchina.
Il fatto che non verifichi che l'utente e' abilitato o meno non lo capisco.
Sei sicuro che l'utente su NT sia effettivamente disabilitato ?
E questo comunque mi fa' venire in mente un'altra cosa: se il prof deve
abilitare/disabilitare l'utente ha i diritti di administrator per il
dominio... cio' significa che ci sono 'n' administrator o che la
password e' di pubblico dominio... non mi sembra molto bello...
Davide


Significa che ce n'è 2 (io e il prof) e la pwd la sappiamo io e lui

Ciao,

NT non c'entra proprio niente, qui il problema e' un altro: dipende dal
TTL dell'autenticazione di tipo basic.
In Squid vale 2 ore di default, ovvero, se dalla stessa stazione tu
rispecifichi le stesse credenziali, queste non vengono piu' validate
fino allo scadere del TTL.
Soluzioni:
- Abbassare di brutto il TTL
- Aggiornare a Squid 2.5 con NTLM ed autenticatori Winbindd molto piu'
flessibili,
lavorano anche a livello di gruppi utenti di dominio NT.
Saluti
GuidoS1966

 lavorano anche a livello di gruppi utenti di dominio NT.
grazie per le delucidazioni. ero nuovo a squid e istintivamente ho dato la
colpa ad nt ;-) ti faccio un'altra domanda: abbbassare a 0 il ttl causerebbe
a squid qualche problema magari a livello di performance? in definitiva tu
aggiorneresti squid?

 aggiorneresti squid?
Mettere il TTL a 0 vuol dire fare un autenticazione per ogni singola
richiesta in una pagina HTML, ovvero ogni singola gif, Jpeg, etc .....
Io eviterei, 10 minuti potrebbe essere un ottimo valore.
Riguardo all'aggiornamento, la 2.5 attualmente e' una PRE 8, penso che
entro un mese diventera' STABLE1. A mio avviso, quando sara' rilasciata,
penso che l'aggiornamento ne valga decisamente la pena.
GuidoS1966