Newsgroup: it.comp.os.linux.sys
Titolo: Squid e utenti Samba

Ciao a tutti.
Sto mettendo in piedi un server Squid con l'autenticazione tramite PDC 
Samba.
Posso discriminare gli utenti in base al gruppo Unix di appartenenza?
Ad esempio, vorrei che gli utenti (Unix e Samba) appartenenti al gruppo 
"amministratori" possa accedere a tutto, il gruppo "xxxx" non possa 
scaricare file .exe e non possa accedere a determinati siti tramite 
Squidguard, e che il gruppo "yyyyyy" possa fare altre cose.
Mi date una mano, per favore?
Grazie mille!
Ciao

 tramite Squidguard, e che il gruppo "yyyyyy" possa fare altre cose.
Penso che sia dura. 
AFAIK il protocollo utilizzato dall'interfaccia redirector standard di
squid non consente di differenziare tra le richieste in funzione dell'
utente richiedente [1]. Poiche' squidguard usa questa interfaccia, non
puo' che ereditare questo limite.
Un modo per aggirare questa limitazione potrebbe essere quello d'usare
una gerarchia di server squid: il primo si occupera' di autenticare l'
utente e poi redirigera' le richieste a un diverso server squid (detto
cache_peer) a seconda del gruppo. Ogni cache_peer avra' configurazioni
di squidGuard diverse, a seconda dei criteri che avrete definto per il
gruppo. E' un approccio adottabile quando i gruppi da discriminare son
pochi, ovviamente.
La cosa si potrebbe fare creando un'acl external o proxy_auth per ogni
gruppo da discriminare. La selezione del cache peer avverra' usando la
verifica cache_peer_access che valuti l'acl di cui sopra. Vuole essere
solo una descrizione di massima: se ti interessa, puoi leggere la doc,
provare a fare qualche tentativo e poi, eventualmente, tornare con dei
quesiti piu' specifici (o, magari, con un'idea migliore :-).
Fabio
[1] a meno di non usare ident, che pero' soffre di altri problemucci.

 puo' che ereditare questo limite.
Questa e' una "cagata pazzesca" (TM).
M'ha preso la curiosita' di dare un'occhiata alla questione "ident", che
mi pareva un po' obsoleta. Ho scritto un banale redirectorino e ho visto
che squid inserisce il nome degli utenti autenticati nel campo ident del
protocollo di comunicazione con il redirector [1].
O la doc e' poco aggiornata o non sono al passo con il suo aggiornamento
o non ho mai letto tutto (e' facile l'ultima :-/). Morale, si dovrebbero
poter utilizzare i filtraggi basati su ident previsti da squidGuard, che
pero' non sono proprio il massimo [2], o scriversi un piccolo redirector
che faccia da wrapper per squidguard e che gestisca, in qualche modo, il
gruppo dell'utente autenticato in squid. Per es, il redirector/wrapper:
- intercetta la query proveniente da squid; es:
 
 
http://www.google.com
 
1.1.1.1/-
 mio_username GET
- estrae il campo "ident", che contiene il nome dell'utente autenticato;
  es:
  mio_username
 
- risolve i/il gruppi/o di appartenenza, usando il metodo piu' idoneo, a
  seconda delle esigenze; es.
 
  mio_gruppo;
- riscrive la query sostituendo il gruppo al nome utente nel campo ident
  della query; es:
 
http://www.google.com
 
1.1.1.1/-
 mio_gruppo GET
- invia la query a squidGuard che sara' configurato per differenziare il
  suo comportamento in funzione dell'ident. Poiche' ora in ident abbiamo 
  il gruppo, in pratica, avremo che i controlli di squidGuard saranno in
  funzione del gruppo a cui appartiene l'utente;
- squidGuard restituira' la sua risposta al wrapper che, a sua volta, la
  inoltrera' allo squid.
Il tutto si riduce a poche linee di perl o python o quello che si vuole.
Un eventuale caching delle coppie "usente:gruppo" potrebbe migliorare le
prestazioni.
Ah... un ultima cosa: meglio dare prima un'occhiatina per vedere se c'e'
qualcuno che ha gia' fatto qualcosa del genere. Magari in modo migliore.
Fabio
[1] "URL ip-address/fqdn ident method\n"
[2] non uso squidguard abitualmente e potrei essermi perso qualcosa.

 qualcuno che ha gia' fatto qualcosa del genere. Magari in modo migliore.
Ti giuro che non ho trovato nulla.. Tu hai trovato qualcosa?
Ciao e grazie!
Decibel.

 
http://merlino.merlinobbs.net/Squid-Book/HTML/sec-external-acl.html
Ma l'autenticazione tramite wb_group non è esattamente quella che cerco? :-)
Ciao!
Decibel.

 Ma l'autenticazione tramite wb_group non è esattamente quella che cerco? :-)
E squid_unix_group? ;-)
Fabio

 Ti giuro che non ho trovato nulla.. Tu hai trovato qualcosa?
No, ma non ho cercato di recente.
Fabio

 E squid_unix_group? ;-)
Anche, ma io vorrei che l'autenticazione sia completamente trasparente.
L'utilizzo di squid_unix_group non obbligherebbe gli utenti a fare 
un'ulteriore autenticazione oltre che quella col PDC Samba all'avvio del PC?
Ciao!