Newsgroup: it.comp.os.linux.sys
Titolo: squid - samba e active directory 2: la vendetta

ok, ricominciamo:
distribuzione trustix secure linux
installato samba, configurato con --with-winbind e
--with-winbind-auth-challenge
editato smb.conf con security level = domain ecc ecc password server ecc
ecc
fatto join al dominio con comandosmbpasswd -j nomedominio -r PDC
fatto uno share di prova per vedere se gl iutenti di dominio possono
accedere e tutto funziona.
ora inizia la parte winbind:
aggiunto a smb.conf winbind uid e winbind gid
lancio il demone winbindd e provo a fare wbinfo -t --> could not check
secret
-- 
funky - bz
icq 33834124 
www.jessatogroove.com
odo come un lontano rumor di rodimento, ed un lieve rimbalzar di molle (cit.)

 secret
scusate, ero arrivato qua.. mi e' partito il post per sbaglio (ctrl
enter..)
a questo punto faccio ps ax | grep winbindd e vedo che non e' in
esecuzione e li l'illuminzaione: non riesce a partire, per cui provo a
farlo partire in debug:
winbindd -d3 -i
e vedo che mi dice tutta la pappardella in cui risolve l'indirizzo del pdc
ecc ecc finche' scrive queste due righe:
invalid permission on socket directory /tmp/.winbind
could not create socket
qualcuno sa spiegarmi cosa significa e perche' succede?
ovviamente finche' non parte il demone winbindd non puo' andare nemmeno
l'autenticazione squid con winbind...
qualcuno ha idea di come potrei risolvere questa cosa? qualcuno e'
arrivato a leggere fin qua? :-)


 could not create socket
ora sono riuscito a risolvere questo problema
chmod 755 /tmp/.winbind
winbindd
wbinfo -t
Secret is good
ora posso partire da un winbind funzionante, a questo punto installo squid
e rifaccio tutta la configurazione per funzionare con winbind, speriamo
che sia la volta buona
solo non capisco come mai non gli andassero bene i diritti rwx------ su
quella directory, io sono root e root e' anche l'owner della directory..
boh


 che sia la volta buona
FUNZIONA! squid autentica utenti di dominio NT utilizzando l'utente
loggato sul PC, in maniera totalmente trasparente! :-))))))))))))
ora vediamo con active directory cosa succedera'..  ma se non mi tolgono
NTLM dall'AD credo che le cose non cambino :-)))))))))
grazie a chi mi ha scritto per darmi una mano :)



Rispondo qui al tuo post precedente.
NTLM NON puo' essere tolto da AD, probabilmente si vuole passare il 
dominio AD da Mixed a Native mode, ma questo non c'entra nulla con NTLM 
ed i client Pre Windows 2000 come Samba, NT4 o 9X.
Se il tuo dominio AD fosse stato installato senza Pre Windows 2000 
compatibility, il tuo Samba ora non funzionerebbe, come qualsiasi altra 
cosa non Windows 2000.
Saluti
GuidoS1966


 cosa non Windows 2000.
al momento io sto lavorando ancora con windows nt4.0, i dominii sono
ancora tutti in NT, verrano migrati su AD tra breve, io sto testando varie
possibilita'.
Grazie e ciao :-)
--
Matteo - BZ


Ho fatto delle prove...usando smb_auth puoi usare tranquillamente qualsiasi
pdc che vuoi che sia NT Active Directory o Samba server!
Ciao
Alessandro

 pdc che vuoi che sia NT Active Directory o Samba server!
hai dovuto configurare squid e samba con qualche parametro particolare
(--with-qualcosa?)
io ho fatto funzionare tutto con winbind, solamente la gestione di chi
puo' e chi non puo' accedere a internet va fatta aggiungendo i nomi utenti
in un file di testo che viene richiamato in squid.conf (acl test
proxy_auth '/percorso/utentiConPermesso')
il mio ufficio invece voleva fare in modo che i permessi di accedere o
meno a internet non fossero gestiti da noi ma da chi gestisce l'active
directory, per cui dovrei riuscire a fare in modo di autenticare un gruppo
(es il gruppo internetUsers) in modo che squid resti sempre li, senza
essere toccato, mentre chi gestisce l'active directory possa tirar fuori e
dentro a piacimento persone da questo gruppo.
ho dato un'occhiata a smb_auth, il discorso di dare i diritti sulla dir
con il file con scritto "allow" funzionerebbe, e non dovrei nemmeno
gestirlo io, ma non mi piace molto come soluzione.
Per fare un paragone banale, isa server puo' assegnare regole in base ai
gruppi, ed e' quello che io dovrei riuscire a fare.
Grazie mille intanto, sono molto contento del fatto che funzioni, se
qualcuno avesse idea di come autenticare utenti e dare diritti in base al
gruppo di appartenenza sarebbe fantastico :-)
ogni info e' ben accetta, grazie ancora



Guarda che è quello che puoi fare proprio con smb_auth !!!!
non cambi i diritti alla cartella contenente proxyauth(che tra parentesi è
NETLOGON), ma bensì i permessi di lettura a detto file!!....ok faccio un
esempio...prendo quello che ho fatto io con un server con Active Directory:
utenti: pippo, paperino, pluto contenuti nel "gruppo di protezione"  buoni
utenti: tutto il resto della lan contenuti nel "gruppo di protezione" lan.
a questo punto ho copiato il file proxyauth in netlogon e ho dato permessi
di lettura a detto file solo al gruppo "buoni"
Risultato: solo il gruppo "buoni" può navigare in internet e come
amministratore mi basta aggiungere un qualsiasi utente della lan a questo
gruppo per "abilitarlo"....ho detto abilitarlo perchè naturalmente poi c'è
il controllo username/password (ma puoi anche farne a meno) e il controllo
sull'IP.
Ciao
Alessandro

 Guarda che è quello che puoi fare proprio con smb_auth !!!!
Hai ragione, avresti della documentazione da mandarmi? ho trovato poche
cose fino a adesso su smb_auth, magari ci sentiamo in mail privata, se hai
qualcosa contattami (
funk...@gmx.net
)
grazie mille!
