Newsgroup: it.comp.os.linux.sys
Titolo: [SQUID] NTLM AUTH + Trasparent Proxy

Ciao a tutti , ho un dubbio/problema/dilemma/**** per la testa ...
Sto usando squid con auth NTLM e vorrei farlo in maniera trasparente , 
ho configurato il squid ad hoc , ma non funziona in trasparent . M_i č 
venuto un dubbio : ho disabilitato le voci per l'auth e funzionava tutto 
... gocciolina di suodore freddo e bestemmia in canna : NON FUNZIONA il 
trasparent proxy se fa anche auth . Ho letto nel NG squid user e pare 
sia cosě ma le mail erano un pochino datate. Potete darmi qualche 
delucidazione , e aiuto ?
Tnx


Nessuna autenticazione possibile in transparent proxy.
Almeno, non fatte da squid.
Aloha!
-- 
cat: .signature: No such file or directory

Skull wrote:

una parte dentro di me sperava di aver capito male ... tu mi ha dato il 
colpo di grazie ARGHH ... cmq ti ringrazio della conferma , a questo 
punto cosa mi suggeriti di fare per evitare di andare a mettere a manina 
su tutti i client il flag utilizza proxy sul browser ?

stoico ha scritto:

lo trovi scritto in squif.conf :)
#         # WARNING: proxy_auth can't be used in a transparent proxy. It
#         # collides with any authentication done by origin servers. It may
#         # seem like it works at first, but it doesn't.

 su tutti i client il flag utilizza proxy sul browser ?
Dipende (ma riprendiamo un discorso già toccato qui in passato) da cosa 
hai in casa.
Si passa dal distribuire le configurazioni del proxy tramite qualunque 
meccanismo centralizzato, if any, oppure a usare qualcosa di simile ad 
un captive portal (vedi l'omonima feature di monowall) oppure ancora 
qualcosa di simile ad authpf (vedi openbsd) come meccanismo di 
inserimento/rimozione delle regole di NAT o di INPUT sul gateway.
Entrambe le soluzioni le puoi mandare ad autenticarsi sul PDC in vario modo.
Dalle disquisizioni passate, non risultava nulla di già fatto per linux, 
ma non escludo esista.
Saluti (il quoting!!!).



Non mi serve di fare un Authentication Gateway , in sostanza quello che 
sto facendo è usare dansguardian con gli utenti del Dominio  di MicroZ , 
e funziona tutto . Solo che per intercettare gli untenti uso 
samba+winbind e ntlm auth su squid. Mi sarebbe piaciuto farlo in maniera 
trasparente , ma se nun se pò fare mi arrangio con qualche script di log 
on messo sul DC.... Se manco questo se può fare ( anche se non lo credo) 
mando una mail a tutti con susscritte le istruzioni per navigare ... amen

frick wrote:

iHai ragione ... :D il fatto č che io i file di conf li ripulisco tutti 
e me li rifaccio a manina da 0 , quindi mi son perso sto tag :)

Ho risolto .. anzi meglio "tamponato" in questo modo : ho messo una 
regola con iptables che ridirige tutti il traffico della porta 80 fatto 
dai client sulla porta 81 del server dove c'è http con una pagina di 
blocco che spiega di dover configurare il proxy per poter accedere , in 
questo modo ovvio ai vari bypass e dò una spiegazione plausibile del 
perchè non si naviga. Che dite per ora può andare ?


Direi che potremmo definirla come una parafrasi di "distribuire le 
configurazioni del proxy tramite qualunque meccanismo centralizzato", 
solo che questa soluzione è user-driven :-)
Bada a mettere delle regole di redirect o usare la pagina come 404...



Funziona alla grande , cmq ho usato una pagina ad hoc fatta al volo , 
dove avvertivo tutti gli untenti che la navigazione è bloccata a priori 
se non si è impostato il proxy nelle configurazioni del browser !

 mando una mail a tutti con susscritte le istruzioni per navigare ... amen
- policy dominio
- logon script
- wpad
- proxy.pac
- ...