Newsgroup: it.comp.os.linux.sys
Titolo: squid e active directory

ciao a tutti.
Sono nuovo del NG, mi chiamo Matteo, sono di Bolzano e faccio il
sistemista di rete.
Ora, io di solito lavoro su router switch ecc ecc... ma questa volta devo
mettere le mani su un pc.
ho bisogno di un proxy (verosimilmente squid) che autorizzi l'accesso a
internet a seconda dell'utente, tizio puo' uscire, caio no.
Fin qui tutto semplice, ma ci sono sostanzialmente due problemi:
1. squid dovrebbe andarsi a prendere gli utenti dall'active
directory di windows 2000 
2. dovrebbe farlo in maniera trasparente, ovvero se io sono loggato sul pc
come caio e caio e' stato abilitato ad uscire verso internet, non dovrei
reinserire nomeutente e password quando cerco di accedere a una pagina
web.
e' possibile tutto cio'? se si, con quale modulo di autenticazione?
e' possibile tenendo conto che NTLM sara'disattivato dall'active directory?
qualcuno ne sa qualcosa?
grazie mille
-- 
funky - bz
icq 33834124 
www.jessatogroove.com
odo come un lontano rumor di rodimento, ed un lieve rimbalzar di molle (cit.)

Si può fare, leggi la doc.

web.
se lo fa, dovrebbe farlo squid (proxy_auth), ma la vedo gia` piu` dura.
c'e` da dire che _eventualmente_ non mi pare un gran sbattimento
riscrivere la password per navigare in rete, si puo` sopravvivere.
-- 
Maurizio - Tannoiser - Lemmo
Founder Member of ERLUG (Emilia Romagna Linux User Group)
http://erlug.linux.it

 riscrivere la password per navigare in rete, si puo` sopravvivere.
nemmeno a me, ma se non fara'l'autenticazione in maniera trasparente squid
verra' rimpiazzato da microsoft isa server..
grazie intanto :-)


 Si può fare, leggi la doc.
ti costava tanto ignorare il post invece che postare una cosa del genere?
ho letto tonnellate di documentazione prima di postare qua, se hai qualche
documento di preciso da suggerire te ne sarei grato, altrimenti questa
risposta e' assolutamente inutile.
Scusa la polemica ma sono giorni che lavoro su questa cosa.


verra' rimpiazzato da microsoft isa server..
oh, sai. ognuno si fa poi male come meglio crede. se questo e` un buon
motivo per avere un prodotto intresecamente peggiore, che costa (non mi
risulta che giri su linux, ergo, bisogna mettere in conto anche win2k
per quella macchina), che non puoi usare hw di recupero, ecc, perche`
devono scrivere la password _due_ volte... il problema e` a monte, per
quanti sforzi tu faccia.


 oh, sai. ognuno si fa poi male come meglio crede.
hai ragione.. ma qua il discorso si fa politico e non
tecnico, non decido io se mettere squid o isa server, ho solo spiegato
come stanno le cose, ovvero  se non riusciro' a fare l'autenticazione in
automatico il progetto squid sara' abbandonato, indipendentemente dalla
mia volonta'


mia volonta'
avevo intuito, il mio discorso era in questo senso: se non capiscono
_gli_ altri _motivi_ (ben validi, si parla anche di _soldi_!), non e`
colpa tua.


 
Guardati le FAQ su 
http://www.squid-cache.org/
, e leggiti con molta 
attenzione i commenti in Squid.conf.
Saluti
GuidoS1966

 
Ribadisco, sul sito di Squid c'e' una apposita FAQ che spega tutto per 
filo e per segno.
Saluti
GuidoS1966

Ciao, anche io stò configurando squid (e anche io posto da Bolzano :-) ),
pur non volendo un autenticazione del genere, in quanto preferirei farla
solo per gli utenti configurati sul proxy, mi sono trovato in mezzo....
Leggendo la doc, ho trovato che tra i vari mezzi disponibili per
l'autenticazione, si può usare MSNT( "Utilizza il protocollo di autentifica
dei domini WindowsNT");
leggendo dice:
''MSNT è un modulo d'autenticazione inserito all'interno del programma Squid
che ci permette di compiere l'autenticazione degli utenti che vogliono
accedere a Internet utilizzando la coppia Username/Password registrati nei
controller di dominio dell'azienda. Pertanto nel momento stesso in cui un
Utente vorrà navigare all'apertura di Explorer o di qualsiasi altro browser
gli verrà presentato un form in cui dovrà appunto inserire il nome utente e
la password che utilizza la mattina all'accensione della macchina per il
logon all'interno del dominio di appartenenza."
---CUT----
lo puoi trovare su  
http://stellarx.tripod.com
 sotto la voce
software.....dovrebbe fare al caso tuo !
Ciao
Alessandro

 software.....dovrebbe fare al caso tuo !
a me sembra una cosa aberrante. Le password come le trasmette, in 
chiaro? schifo schifo schifo schifo. E' il genere di cose che è meglio 
lasciar fare a Windows, piuttosto che improvvisarsi esperti del tipo 
ma-che-bello-so-scrivere-un-modulo-di-squid. L'ideale è mettere il 
proxy nel dominio tramite Samba e usare l'autenticazione NTLM, che 
trasmette le credenziali che il controller di dominio stesso ha 
assegnato all'utente al logon
-- 
 < 
http://www.reactos.com/
 >  Open source clone of Windows NT. Current
     Don't stand, REACT!      version 0.0.20. C, C++ and ASM developers
                              and beta testers are welcome!

 assegnato all'utente al logon
Prendi con le molle quello che dico perchè non ne sono sicuro, ma si
parla dell'utilizzo del "protocollo di autentifica dei domini
WindowsNT"; questo protocollo non è certo in chiaro.....quindi il
tutto dovrebbe passare criptato...in quanto all'utilizzo con w2k e
active directory dovrebbe essere possibile in quanto il protocollo non
è stato variato rispetto a NT!
Ciao
Alessandro
P.S.: Credo anche io che sia meglio utilizzare un altro tipo di
autentifica....io stò cercando di implementare PAM!

 dovrebbe passare criptato...
E su questo siam d'accordo fintantochè squid confronta le password che
gli hai passato con quelle inserite nel dominio.
Ma quando avvii il tuo browser e squid ti chiede la password, come passa
la password fino a squid?
byez...
-- 
Emanuele Balla aka Skull
-----------------------------------------------------------------------
Besides, I think [Slackware] sounds better than 'Microsoft', don't you?
(By Patrick Volkerding)

 Non e' vero, NTLM continua ad essere utilizzabile in ambiente AD.
il gestore dell' AD vuole disattivare NTLM, non chiedermi perche', e' una
notizia che mi e' giunta all'orecchio in questi giorni da altre persone.


 filo e per segno.
quella che parla di NTLM  e winbind no? 
Sto ben provando a seguire quella, ma con scarso successo .. samba
funziona ma winbind no.. se provo a fare il check di winbind non mi
autentica gli utenti, nonostante tutto mi sembri configurato bene.. rifaro' di
nuovo tutto da capo..
grazie intanto :-)


 altre persone. 
probabilmente stanno pensando di passare a IPSec. Avrebbe senso - NTLM 
va implementato e mantenuto "manualmente" in ogni protocollo, oltre a 
richiedere che il client ne sia a conoscenza


 passa la password fino a squid?
esatto, il punto è proprio questo. Oltre ovviamente al fatto che chiedi 
comunque di inserire la password due volte, e la seconda volta in un 
modo meno sicuro. La prima volta (il logon), com'è noto, richiede la 
pressione di CTRL-ALT-DEL, e stiamo parlando solo del default - come 
farà questo modulo a gestire posti in cui l'autenticazione viene fatta 
tramite smart card? Comunque la giri, NTLM rimane il modo migliore
Probabile che, con client Windows 2000 e/o con il software giusto, sia 
possibile usare anche meccanismi di passaggio delle credenziali su TCP 
più pervasivi e trasparenti, indipendenti dal client e dal protocollo, 
come il tunneling SSL. Qui non mi pronuncio, perchè non me ne intendo
