Newsgroup: it.comp.os.linux.sys
Titolo: squid + samaba + ntlm_auth

Salve a tutti,
ho riscontrato un problema la cui soluzione è a dir poco
incomprensibile.
Vi spiego la situazione.
Ho un server RedHat7.3 con squid+samba+ntlm_auth che autentifica gli
utenti su un dominio NT4.
Ogni utente ha, nel dominio, il login limitato solo ad alcune macchine.
Navigando, xò, ciò nn ha mai creato problemi.
Squid riconosce gli utenti li autentifica e li fa navigare.
Se xò provo a dare a mano il comando
/usr/local/samba/bin/ntlm_auth --username=test --domain=DOM
--workstation=PIPPO --password=aaa -d 200
ottengo
NT_STATUS_INVALID_WORKSTATION: Invalid workstation (0xc0000070)
Ho installato di recente una macchina slack10.2
con squid+samba+ntlm_auth esattamente con gli stessi parametri e file
di conf della macchina vecchia.
anche in questo caso con il comando:
/usr/local/samba/bin/ntlm_auth --username=test --domain=DOM
--workstation=PIPPO --password=aaa -d 200
ottengo
NT_STATUS_INVALID_WORKSTATION: Invalid workstation (0xc0000070)
Il problema è che ottengo l'errore anche navigando.
L'errore scompare se nell'utente test aggiungo il login to alla
macchina che proxy.
E' secondo voi possibile capire il PERCHE'???
Grazie a tutti.
Saluti

 NT_STATUS_INVALID_WORKSTATION: Invalid workstation (0xc0000070)
Esiste nel dominio un account macchina per la workstation PIPPO? Ovvero
PIPPO è il nome netbios della macchina come configurato in
/etc/samba/smb.conf e il SID corrisponde con quello registrato nel dominio?
-- 
Flavio Visentin
Membro del CICAP
Comitato Italiano per il Controllo delle Affermazioni di P4

Si, la workstation esiste ed è registrata nel dominio.
Il problema è "solo" (si fa x dire) che l'utente test non ha settata
l'opzione "logon to" PRX (che è il nome netbios della macchina proxy)
anche se ha il logon to PIPPO.
In pratica sembra che tutti gli utenti che vogliono navigare DEVONO
avere il logon to PRX xchè, penso, il proxy invia una richiesta di
login al PDC come se l'utente da validare volesse loggarsi sul PRX.
L'assurdo è che su RedHat questo problema nn c'era e l'unica
differenza fra le due distro sembra essere la presenza delle PAM.
Mi auguro cmq che nn siano necessarie.
Cosa ne pensi?
Grazie ancora x la risposta.
Saluti

 login al PDC come se l'utente da validare volesse loggarsi sul PRX.
Mi suona strano. Se avvii winbind a mano con queste opzioni:
winbindd -i -d 5
Puoi vedere tutte le fasi dell'autenticazione; secondo me è perché ti
dimentichi di specificare il dominio dell'utente; se al posto
dell'utente "test" specifichi "DOMINIO\test" o "DOMINIO+test" che ti dice?



Perche' e' il comportamento corretto .... :-)
Dai un occhiata qui (11.5.5.5):
http://merlino.merlinobbs.net/Squid-Book/HTML/sec-squid-25-autenticazione-ntlm.html#SUBSEC-UTENTI-NON-AUTENTICATI
Con NTLM se non abiliti il supporto per il pacchetto negotiate l'utente 
fa sempre una login sul proxy, cosi' come in Basic authentication.
Se poi tu lanci ntlm_auth in quel modo, gli stai chiedendo di fare 
esplicitamente login localmente con le credenziali specificate ....
Saluti
Guido

Anche questo l'avevo visto, ma io nel file di conf ho specificato:
[squid.conf]
(CUT)
auth_param ntlm program /usr/local/samba/bin/ntlm_auth
--helper-protocol=squid-2.5-ntlmssp --domain DOMINIO -s
/etc/samba/smb.conf -d 255
auth_param ntlm children 17
auth_param ntlm max_challenge_reuses 0
auth_param ntlm max_challenge_lifetime 15 minutes
auth_param ntlm use_ntlm_negotiate on
(CUT)
altri suggerimenti?
Grazie 100000000000000