Newsgroup: it.comp.os.linux.sys
Titolo: Autenticazione su Active Directory e Squid

Semplicemente, voglio che l'autenticazione ad un dominio active
directory su macchina windows 2000 mi renda l'autenticazione
trasparente sul mio browser.
Ho seguito questa FAQ
http://www.squid-cache.org/Doc/FAQ/FAQ-23.html#winbind
Ma la prova di winbind non va..
randaold:/etc/squid# wbinfo -t
checking the trust secret via RPC calls failed
error code was NT_STATUS_INTERNAL_ERROR (0xc00000e5)
Could not check secret
Sto su debian sarge e samba 3.0 (lo devo ricmpilare con supporto
winbind? non è possibile usare i pacchetto?)
Sapete darmi qualche dirtta in merito?
Alessio

Ho provato anche ad usare secche queste configurazioni su squid:
auth_param ntlm program /usr/lib/squid/ntlm_auth -d ABANET/
192.168.1.76
ABANET/
192.168.1.76
auth_param ntlm children 15
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 15 minutes
ma l'accesso mi viene DENY da squid..

 Sapete darmi qualche dirtta in merito?
Hai fatto il join al dominio? č andato a buon fine? Hai disattivato il
firewall (almeno in fase di setup č d'obbligo aprirlo)? Hai lasciato le
policy standard sui DC?
Io in genere faccio cosě.
-----------------------------------------------------------------
### file smb.conf:
# Global parameters
[global]
	workgroup = DOMINIO
	server string = %h server (Samba %v)
	security = DOMAIN
	obey pam restrictions = Yes
	passdb backend = tdbsam, guest
	password server = *
	client NTLMv2 auth = Yes
	syslog = 0
	log file = /var/log/samba/log.%m
	dns proxy = No
	ldap ssl = no
	panic action = /usr/share/samba/panic-action %d
	idmap uid = 10000-20000
	idmap gid = 10000-20000
	winbind separator = +
	winbind cache time = 10
	winbind use default domain = Yes
	winbind nested groups = Yes
	invalid users = root
-----------------------------------------------------------------
### Join al dominio:
net ads join -w DOMINIO -S SERVER -I 10.0.0.1 -U administrator
-----------------------------------------------------------------
### Configurazione di squid: (occhio che le linee sono spezzate per
### chiarezza, ma vanno riunite opportunamete)
auth_param ntlm program /usr/bin/ntlm_auth
   --helper-protocol=squid-2.5-ntlmssp --domain=DOMINIO
   --require-membership-of=DOMINIO+UtentiInternet --diagnostic -d 5
auth_param ntlm children 5
auth_param ntlm max_challenge_lifetime 2 minutes
auth_param ntlm use_ntlm_negotiate on
auth_param basic program /usr/bin/ntlm_auth
   --helper-protocol=squid-2.5-basic --domain=DOMINIO
   --require-membership-of=DOMINIO+UtentiInternet --diagnostic -d 5
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
acl autenticati proxy_auth REQUIRED
http_access allow autenticati
-----------------------------------------------------------------
### Creazione del gruppo sul dominio Windows (da cmd) e aggiunta utenti
net group UtentiInternet /add
net group UtentiInterner Utente_1 /add
...
-----------------------------------------------------------------
### Stop del servizio winbind, verifica dei permessi e avvio in
### interattivo
/etc/init.d/winbind stop
chgrp -R proxy /var/run/samba/winbindd_privileged
winbindd -i -d 5
-----------------------------------------------------------------
### Osservi e se hai culo tutto funziona
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

 	security = DOMAIN
mmmhh...sbaglio o come member server è consigliato impostare samba (nel 
caso di un dc 2000 o 2003) con l'opzione security = ads unita alla 
specifica dell'opzione realm = KDC_REALM (che non è altro che il 
suffisso dns che specifica proprio l'albero di ad) e dalla corretta 
configurazione di /etc/krb5.conf? :)


Se il dominio è in modalità nativa è obbligatorio, se invece è in
modalità mista i due approcci si equivalgono.
Con security=domain però hai da configurare e debuggare di meno.


Che razza di errore è? Ho provato anche con l'utente administrator..
randaold:/etc# net ads join -w ABANET -S ZETAFAX -I 192.168.1.76 -U
silvio
silvio's password:
[2006/05/09 14:55:48, 0] libads/kerberos.c:ads_kinit_password(146)
  kerberos_kinit_password 
sil...@ABANET.INT
 failed: Improper format of
Kerberos configuration file
[2006/05/09 14:55:48, 0] utils/net_ads.c:ads_startup(191)
  ads_connect: Improper format of Kerberos configuration file

  Improper format of Kerberos configuration file
C'è ben scritto.
Posta il tuo /etc/krb5.conf

Ma non l'ho configurato per nulla.. è quello standard. Cosa devo
metterci? Zipman non mi ha detto nulla a riguardo.. ;(
Grazie delle risposte!!
Ale
[libdefaults]
        default_realm =
        krb4_config = /etc/krb.conf
        krb4_realms = /etc/krb.realms
        kdc_timesync = 1
        ccache_type = 4
        forwardable = true
        proxiable = true
        v4_instance_resolve = false
        v4_name_convert = {
                host = {
                        rcmd = host
                        ftp = ftp
                }
                plain = {
                        something = something-else
                }
        }
[realms]
realms]
 
ATHENA.MIT.EDU
 = {
                kdc = 
kerberos.mit.edu:88
                kdc = 
kerberos-1.mit.edu:88
                kdc = 
kerberos-2.mit.edu:88
                kdc = 
kerberos-3.mit.edu:88
                admin_server = 
kerberos.mit.edu
                default_domain = 
mit.edu
        }
 
MEDIA-LAB.MIT.EDU
 = {
                kdc = 
kerberos.media.mit.edu
                admin_server = 
kerberos.media.mit.edu
        }
 
ZONE.MIT.EDU
 = {
                kdc = 
casio.mit.edu
                kdc = 
seiko.mit.edu
                admin_server = 
casio.mit.edu
        }
 
MOOF.MIT.EDU
 = {
                kdc = 
three-headed-dogcow.mit.edu:88
                kdc = 
three-headed-dogcow-1.mit.edu:88
                admin_server = 
three-headed-dogcow.mit.edu
        }
 
CYGNUS.COM
 = {
                kdc = 
KERBEROS.CYGNUS.COM
                kdc = 
KERBEROS-1.CYGNUS.COM
                admin_server = 
KERBEROS.CYGNUS.COM
        }
 
GREY17.ORG
 = {
                kdc = 
kerberos.grey17.org
GREY17.ORG
 = {
                kdc = 
kerberos.grey17.org
                admin_server = 
kerberos.grey17.org
        }
 
IHTFP.ORG
 = {
                kdc = 
kerberos.ihtfp.org
                admin_server = 
kerberos.ihtfp.org
        }
 
GNU.ORG
 = {
                kdc = 
kerberos.gnu.org
                kdc = 
kerberos-2.gnu.org
                kdc = 
kerberos-3.gnu.org
                admin_server = 
kerberos.gnu.org
        }
 
1TS.ORG
 = {
                kdc = 
kerberos.1ts.org
                admin_server = 
kerberos.1ts.org
        }
 
GRATUITOUS.ORG
 = {
                kdc = 
kerberos.gratuitous.org
                admin_server = 
kerberos.gratuitous.org
        }
 
DOOMCOM.ORG
 = {
                kdc = 
kerberos.doomcom.org
                admin_server = 
kerberos.doomcom.org
        }
ANDREW.CMU.EDU
 = {
                kdc = 
vice28.fs.andrew.cmu.edu
                kdc = 
vice2.fs.andrew.cmu.edu
                kdc = 
vice11.fs.andrew.cmu.edu
                kdc = 
vice12.fs.andrew.cmu.edu
                admin_server = 
vice28.fs.andrew.cmu.edu
                default_domain = 
andrew.cmu.edu
        }
 
CS.CMU.EDU
 = {
                kdc = 
kerberos.cs.cmu.edu
                kdc = 
kerberos-2.srv.cs.cmu.edu
                admin_server = 
kerberos.cs.cmu.edu
        }
 
DEMENTIA.ORG
 = {
                kdc = 
kerberos.dementia.org
                kdc = 
kerberos2.dementia.org
                admin_server = 
kerberos.dementia.org
        }
[domain_realm]
        .
mit.edu
 = 
ATHENA.MIT.EDU
 
mit.edu
 = 
ATHENA.MIT.EDU
        .
media.mit.edu
 = 
MEDIA-LAB.MIT.EDU
 
media.mit.edu
 = 
MEDIA-LAB.MIT.EDU
        .
whoi.edu
 = 
ATHENA.MIT.EDU
 
whoi.edu
 = 
ATHENA.MIT.EDU
.
stanford.edu
 = 
stanford.edu
[login]
        krb4_convert = true
        krb4_get_tickets = true
~


devi configurare il tuo REALM (nel tuo caso e' il dominio windows) e far puntare il kdc al primary domain controller.
 Gio'

Giovanni Bechis ha scritto:

Grazie!! Ora l'errore è questo
 [2006/05/10 11:36:57, 0] utils/net_ads.c:ads_startup(191)
  ads_connect: No such file or directory
:(
Ale

Uhm ancora errori...
randaold:/var/log/samba# net rpc testjoin -I 192.168.1.140 -W ABANET
[2006/05/19 18:09:44, 0]
rpc_client/cli_netlogon.c:cli_nt_setup_creds(256)
  cli_nt_setup_creds: request challenge failed
[2006/05/19 18:09:44, 0] utils/net_rpc_join.c:net_rpc_join_ok(73)
  Error in domain join verfication (fresh connection)
Join to domain 'ABANET' is not valid
Non capisco se il problema sta sul mio Win2000 server, o su samba..

Scusate ma non sono ancora riuscito.
Qualcuno può incollarmi la configurazione di samba? Non riesco neanche
a fare il join del dominio..
Alessio