Newsgroup: it.comp.os.linux.sys
Titolo: Squid proxy  richiede troppo spesso il login

Ciao,
Un server con Squid che fa da proxy per fornire l'accesso ad internet
con autenticazione (gli utenti sono quelli del dominio samba+ldap), su
server CentOS.
Secondo voi quali possono essere delle cause plausibili per cui,
apparentemente in modo casuale, su i client mi viene richiesta
nuovamente l'autenticazione al proxy per poter navigare?
Anche se ho effettuato l'autenticazione 30 secondi prima, capita che
mi venga richiesta nuovamente, senza apparente causa.
Succede principalmente su Firefox, e tutti i client hanno Windows XP
aggiornato.
Su alcuni PC chiede pressoché continuamente di reinserire username e
password. Su altri (tipo il mio) invece accade sporadicamente, ma
accade.
Può essere un problema dei singoli client (configurazioni di rete, del
browser, di sicurezza, o altro) o potrebbe essere la configurazione di
SQUID da rivedere?
Grazie,
Pictor

 mi venga richiesta nuovamente, senza apparente causa.
Probabilmente hai esaurito le istanze di ntlm_auth disponibili. Io proverei
a raddoppiarne il numero. Il fatto che lo dia con FF potrebbe essere per il
maggior parallelismo di richieste rispetto ad IE.
Tutto ovviamente cosě dato che non hai postato alcun'altra info utile come
p.es
. il cache.log di squid.
-- 
Flavio Visentin
Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)

 
p.es
. il cache.log di squid.
Stavo aspettando che il problema si ripresentasse sul mio PC. Mi è
appena ricapitato.
Ecco qua sotto:
(USERNAME è il mio utente di dominio)
## CACHE.LOG (fino al prompt dell'autenticazione) ##
1286371343.756      0 19x.xxx.xxx.99 TCP_DENIED/407 1820 GET
http://254.170.9.1/0/img.gif
? - NONE/- text/html
1286371348.329      0 19x.xxx.xxx.99 TCP_DENIED/407 1849 GET
http://shiptrop.com/0/img.gif
? - NONE/- text/html
1286371348.333      0 19x.xxx.xxx.99 TCP_DENIED/407 1823 GET
http://shiptrop.com/0/img.gif
? - NONE/- text/html
1286371348.348      0 19x.xxx.xxx.99 TCP_DENIED/407 1855 GET
http://195.225.176.85/0/img.gif
? - NONE/- text/html
1286371348.350      0 19x.xxx.xxx.99 TCP_DENIED/407 1829 GET
http://195.225.176.85/0/img.gif
? - NONE/- text/html
[2010/10/06 15:21:35, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
  Got user=[MIOUSERNAME] domain=[] workstation=[NOMEMIOPC] len1=24
len2=24
[2010/10/06 15:21:35, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
  NTLMSSP Sign/Seal - Initialising with flags:
[2010/10/06 15:21:35, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088205
[2010/10/06 15:21:35, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088207
[2010/10/06 15:21:39, 1] libsmb/ntlmssp.c:ntlmssp_update(334)
  got NTLMSSP command 1, expected 3				#	<<-----------------------
Forse qua succede qualcosa. Anche se vedo che poco sotto c'è un "Got
User"
[2010/10/06 15:22:13, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088207
[2010/10/06 15:22:13, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088207
[2010/10/06 15:22:13, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
  Got user=[MIOUSERNAME] domain=[WESTSYSTEMS] workstation=[NOMEMIOPC]
len1=24 len2=24
[2010/10/06 15:22:13, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
  NTLMSSP Sign/Seal - Initialising with flags:
[2010/10/06 15:22:13, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088205
[2010/10/06 15:22:23, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088207
[2010/10/06 15:22:28, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088207
[2010/10/06 15:22:28, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0xa2088207
## CACHE.LOG (dopo aver reinserito le credenziali di autenticazione)
##
[2010/10/06 15:25:36, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088207
[2010/10/06 15:25:36, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
  Got user=[MIOUSERNAME] domain=[] workstation=[NOMEMIOPC] len1=24
len2=24
[2010/10/06 15:25:36, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
  NTLMSSP Sign/Seal - Initialising with flags:
[2010/10/06 15:25:36, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088205
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088207
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
  Got user=[MIOUSERNAME] domain=[] workstation=[NOMEMIOPC] len1=24
len2=24
[2010/10/06 15:25:37, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
  NTLMSSP Sign/Seal - Initialising with flags:
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088205
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088207
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:ntlmssp_server_auth(739)
  Got user=[MIOUSERNAME] domain=[] workstation=[NOMEMIOPC] len1=24
len2=24
[2010/10/06 15:25:37, 3] libsmb/ntlmssp_sign.c:ntlmssp_sign_init(338)
  NTLMSSP Sign/Seal - Initialising with flags:
[2010/10/06 15:25:37, 3] libsmb/ntlmssp.c:debug_ntlmssp_flags(63)
  Got NTLMSSP neg_flags=0x00088205
## ACCESS.LOG (fino al prompt dell'autenticazione) ##
1286371263.990    206 19x.xxx.xxx.169 TCP_MISS/200 430 GET
http://suggestqueries.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371264.661      3 19x.xxx.xxx.169 TCP_DENIED/407 1906 GET
http://suggestqueries.google.com/complete/search
? - NONE/- text/html
1286371266.100      1 19x.xxx.xxx.169 TCP_DENIED/407 2126 GET
http://suggestqueries.google.com/complete/search
? - NONE/- text/html
1286371266.101      0 19x.xxx.xxx.169 TCP_DENIED/407 1906 GET
http://suggestqueries.google.com/complete/search
? - NONE/- text/html
1286371266.102      0 19x.xxx.xxx.169 TCP_DENIED/407 1906 GET
http://suggestqueries.google.com/complete/search
? - NONE/- text/html
1286371266.296    194 19x.xxx.xxx.169 TCP_MISS/200 431 GET
http://suggestqueries.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371269.262      0 19x.xxx.xxx.169 TCP_DENIED/407 1846 GET
http://www.google.com/search
? - NONE/- text/html
1286371269.296      1 19x.xxx.xxx.169 TCP_DENIED/407 2066 GET
http://www.google.com/search
? - NONE/- text/html
1286371269.901    604 19x.xxx.xxx.169 TCP_MISS/200 13889 GET
http://www.google.com/search
? MIOUSERNAME DIRECT/
72.14.234.104
 text/
html
1286371270.171      0 19x.xxx.xxx.169 TCP_DENIED/407 1876 GET
http://clients1.google.com/generate_204
 - NONE/- text/html
1286371273.202      1 19x.xxx.xxx.169 TCP_DENIED/407 2096 GET
http://clients1.google.com/generate_204
 - NONE/- text/html
1286371273.241     38 19x.xxx.xxx.169 TCP_NEGATIVE_HIT/204 317 GET
http://clients1.google.com/generate_204
 MIOUSERNAME NONE/- text/html
1286371273.271      0 19x.xxx.xxx.169 TCP_DENIED/407 1945 GET
http://www.option.com/en/products/products/usb-modems/icon411/
 -
NONE/- text/html
1286371273.803    531 19x.xxx.xxx.169 TCP_MISS/200 7103 GET
http://www.option.com/en/products/products/usb-modems/icon411/
MIOUSERNAME DIRECT/
62.213.211.36
 text/html
1286371291.925      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371291.953      1 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371292.081      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371292.112      1 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371292.292    339 19x.xxx.xxx.169 TCP_MISS/200 475 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371292.386    273 19x.xxx.xxx.169 TCP_MISS/200 476 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371292.859      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.269      1 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.270      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.270      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.271      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.271      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.272      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.294      0 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.294      1 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.297      0 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.301      0 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.301      3 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.479    207 19x.xxx.xxx.169 TCP_MISS/200 477 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.533    232 19x.xxx.xxx.169 TCP_MISS/200 477 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.536    233 19x.xxx.xxx.169 TCP_MISS/200 479 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.560    242 19x.xxx.xxx.169 TCP_MISS/200 476 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.579    277 19x.xxx.xxx.169 TCP_MISS/200 478 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.613      0 19x.xxx.xxx.169 TCP_DENIED/407 1888 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.643      1 19x.xxx.xxx.169 TCP_DENIED/407 2108 GET
http://clients1.google.com/complete/search
? - NONE/- text/html
1286371295.677    359 19x.xxx.xxx.169 TCP_MISS/200 477 GET
http://clients1.google.com/complete/search
? MIOUSERNAME DIRECT/
72.14.255.100 text/javascript
1286371295.685      7 19x.xxx.xxx.169 TCP_DENIED/407 1846 GET
http://www.google.com/search
? - NONE/- text/html
1286371299.187     34 19x.xxx.xxx.169 TCP_DENIED/407 1846 GET
http://www.google.com/search
? - NONE/- text/html
<<<------------------------ approssimativamente. Forse prima, ma
comunque su Google
1286371332.588  92825 19x.xxx.xxx.169 TCP_MISS/200 873 GET
http://friendfeed.com/a/updates/nano
? MIOUSERNAME DIRECT/
69.63.180.52
text/javascript
1286371333.302      0 19x.xxx.xxx.176 TCP_DENIED/407 511 HEAD
http://www.update.microsoft.com/v9/windowsupdate/redir/muv4wuredir.cab
?
- NONE/- text/html
1286371333.305      0 19x.xxx.xxx.176 TCP_DENIED/407 731 HEAD
http://www.update.microsoft.com/v9/windowsupdate/redir/muv4wuredir.cab
?
- NONE/- text/html
1286371333.606      1 19x.xxx.xxx.169 TCP_DENIED/407 1870 GET
http://friendfeed.com/a/updates/nano
? - NONE/- text/html
1286371333.651      1 19x.xxx.xxx.169 TCP_DENIED/407 2090 GET
http://friendfeed.com/a/updates/nano
? - NONE/- text/html
1286371343.753      0 19x.xxx.xxx.99 TCP_DENIED/407 1846 GET
http://254.170.9.1/0/img.gif
? - NONE/- text/html
1286371343.756      0 19x.xxx.xxx.99 TCP_DENIED/407 1820 GET
http://254.170.9.1/0/img.gif
? - NONE/- text/html
1286371348.329      0 19x.xxx.xxx.99 TCP_DENIED/407 1849 GET
http://shiptrop.com/0/img.gif
? - NONE/- text/html
1286371348.333      0 19x.xxx.xxx.99 TCP_DENIED/407 1823 GET
http://shiptrop.com/0/img.gif
? - NONE/- text/html
1286371348.348      0 19x.xxx.xxx.99 TCP_DENIED/407 1855 GET
http://195.225.176.85/0/img.gif
? - NONE/- text/html
1286371348.350      0 19x.xxx.xxx.99 TCP_DENIED/407 1829 GET
http://195.225.176.85/0/img.gif
? - NONE/- text/html
## ACCESS.LOG (dopo aver reinserito le credenziali di autenticazione)
##
1286371536.566      1 19x.xxx.xxx.169 TCP_DENIED/407 2066 GET
http://www.google.com/search
? - NONE/- text/html
1286371537.212    647 19x.xxx.xxx.169 TCP_MISS/200 14229 GET
http://www.google.com/search
? MIOUSERNAME DIRECT/
72.14.234.104
 text/
html
1286371537.300      0 19x.xxx.xxx.169 TCP_DENIED/407 1945 GET
http://www.option.com/en/products/products/usb-modems/icon411/
 -
NONE/- text/html
1286371537.333      0 19x.xxx.xxx.169 TCP_DENIED/407 2165 GET
http://www.option.com/en/products/products/usb-modems/icon411/
 -
NONE/- text/html
1286371537.596      0 19x.xxx.xxx.169 TCP_DENIED/407 1876 GET
http://clients1.google.com/generate_204
 - NONE/- text/html
1286371537.663      0 19x.xxx.xxx.169 TCP_DENIED/407 2096 GET
http://clients1.google.com/generate_204
 - NONE/- text/html
1286371537.923    260 19x.xxx.xxx.169 TCP_MISS/204 308 GET
http://clients1.google.com/generate_204
 MIOUSERNAME DIRECT/
72.14.255.100 text/html
1286371537.954    561 19x.xxx.xxx.169 TCP_MISS/200 5735 GET
http://www.option.com/en/products/products/usb-modems/icon411/
MIOUSERNAME DIRECT/
62.213.211.36
 text/html
Non riesco ad interpretarli molto bene.
Ho contrassegnato più o meno dove dovrebbe essersi verificata la
richiesta degli username/password (circa al minuto 21/22 delle 15:00).
A voi dicono qualcosa questi log?

Ciao,
una risposta abbastanza OT ma ti suggerisco di provare SquidTL:
http://www.zerozone.it/hardsoft-ware/squidtl/
Buon lavoro, Michele
Pictor ha scritto:

-- 
O-Zone ! No (C) since 1996
On the road with VFR VTec 2002 "Vuffy", on the net with Linux Slackware.
Home+BLOG @ 
http://www.zerozone.it
 || Best of Italy @
http://www.openitaly.net

 a raddoppiarne il numero. 
In caso siano stati esauriti gli autenticatori dovrebbe dirlo nei file di log.
Puoi comunque provare anche queste 2 direttive:
client_persistent_connections on
server_persistent_connections on
Ciao
Rizio
-- 
Si dice che essere liberi significa non avere nulla da perdere... ma la verità è 
che non avere nulla da perdere significa essere pronti a rischiare tutto ciò che 
si possiede.

 aggiornato.
Anche a me una cosa del genere succedeva principalmente (o quasi
esclusivamente) su firefox.
E fra l'altro, a me non succedeva con Squid, ma con un proxy con
autenticazione NTLM (il proxy microsoft).
Io, imputerei la colpa a firefox. Ma francamente, poiché non gestivo io
i proxy, non ho avuto modo di approfondire e ho risolto con un proxy
locale che gestiva lui l'autenticazione verso l'altro proxy.
In questo caso si usa il proxy "cntlm".
-- 
Wikipedia Admin: "wikipedia non è un blog"
Iosif Stalin: "i compagni hanno scambiato il partito per un circolo di
discussione"

 Non riesco ad interpretarli molto bene.
Quando hai un errore 407 significa che è richiesta l'autenticazione, quindi
normalmente per ogni richiesta trovi due entry consecutive, una 407 (denied)
e una 200 (tcp miss) dopo che è stato riconosciuto l'utente.


 IE. 
YEP. Su firefox 3 è impostato a 8 connessioni multiple.
http://kb.mozillazine.org/Network.http.max-persistent-connections-per-proxy
Potrebbe dipendere da questo parametro, che è comunque customizzabile.
Probabile che FF (a causa di un bug segnalato da diverse persone)
richieda l'autenticazione per ciascuna di queste connessioni.
Tanto per fare la prova, si può mettere il valore a 1 e vedere che
succede.
Ma io ricordo che ci avevo passato un po' il tempo. Con chrome era
tutto Ok... poi fra l'altro ho avuto bisogno per forza di un proxy
locale, poiché wget et similia non supportano l'autenticazione ntlm e
quindi mi sono scordato del problema.


 Ubuntu in Zulu significa "Non so usare Debian". (cit. CtRiX)
^_^

 tutto Ok...
Strano invece che a me Chrome proprio non me l'accetta
l'autenticazione. Non ci sono santi, Chrome non mi fa navigare con il
proxy NTLM.
Però pare che sia un bug di Chrome (che Google sembra non aver ancora
risolto).

 la prima è a " " (niente).
Hai una situazione piuttosto sporca, con un unico server che fa di tutto e
di più (anche dal punto di vista sicurezza non è certo il massimo). Per
esperienza personale Linux come domain controller è un bagno di sangue, da
evitare come la peste ovunque non si parli proprio di 2/3 client del cavolo
e un server singolo.
Resto convinto che il problema risieda nella conf di samba, ma non avendo
grandi esperienze e competenze su configurazioni di questo tipo non saprei
darti indicazioni certe su cosa non funga. Farei comunque una verifica dei
log di samba per vedere se dicono qualcosa di più, eventualmente abilitando
il debug.
Una parte su cui indagare potrebbe essere sulla risoluzione dei nomi netbios.
-- 
Flavio Visentin


 risolto).
io uso la versione unstable, chromium 7.xx (ripeto: sette), che sarebbe
quella più featured (ripeto: ficiured).
Senti, se devi risolvere il problema lato server, allora continua pure
a "smadonnare", ma se il problema per te è uno o due client, allora
installati "cntlm" che è disponibile sia per linux, sia per windows.


 mi venga richiesta nuovamente, senza apparente causa.
La butto li: hai disattivato gli aggiornamenti automatici di firefox?
Nicola.
-- 
chi va pian va san e va lontan