Squid — различия между версиями
Строка 19: | Строка 19: | ||
Приводим файл /etc/krb5.conf к такому виду: | Приводим файл /etc/krb5.conf к такому виду: | ||
− | [logging] | + | [logging] |
default = FILE:/var/log/krb5libs.log | default = FILE:/var/log/krb5libs.log | ||
kdc = FILE:/var/log/krb5kdc.log | kdc = FILE:/var/log/krb5kdc.log | ||
admin_server = FILE:/var/log/kadmind.log | admin_server = FILE:/var/log/kadmind.log | ||
− | + | ||
− | [libdefaults] | + | [libdefaults] |
default_realm = EXAMPLE.LOCAL | default_realm = EXAMPLE.LOCAL | ||
dns_lookup_realm = yes | dns_lookup_realm = yes | ||
Строка 32: | Строка 32: | ||
forwardable = true | forwardable = true | ||
kdc_timesync = yes | kdc_timesync = yes | ||
− | + | ||
default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | ||
default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | ||
permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 | ||
− | + | ||
− | + | [realms] | |
− | [realms] | ||
EXAMPLE.LOCAL = { | EXAMPLE.LOCAL = { | ||
kdc = example.local | kdc = example.local | ||
Строка 44: | Строка 43: | ||
kpasswd_server = example.local | kpasswd_server = example.local | ||
default_domain = example.local | default_domain = example.local | ||
− | } | + | } |
При наличии администраторской учетной записи в домене, можно получить билет Кербероса: | При наличии администраторской учетной записи в домене, можно получить билет Кербероса: |
Версия 08:58, 23 мая 2012
Squid и авторизация в домене Windows 2008R2
Для успешной авторизации в домене машины со Squid'ом, необходимы следующие условия:
- Наличие внутреннего DNS
- Наличие приямой и обратной записи для контроллера домена
- Наличие прямой и обратной записи для машины со Squid'ом
- Наличие прямой и обратной записи для пользовательских компьютеров
- Синхронизация часов контроллера домена, машины со squid'ом и пользовательских компьютеров с точным временем в интернете, либо локальным NTP сервером
Исходные условия:
- CentOS x64 6.2 с установленным OpenVZ и дополнительным репозиторием EPEL
- Установленный squid из репозитория
- Установленные пакеты:
krb5-libs-1.9-22.el6_2.1.x86_64 squid-3.1.10-1.el6_2.4.x86_64 msktutil-0.4.1-1.el6.x86_64 krb5-workstation-1.9-22.el6_2.1.x86_64
Приводим файл /etc/krb5.conf к такому виду:
[logging] default = FILE:/var/log/krb5libs.log kdc = FILE:/var/log/krb5kdc.log admin_server = FILE:/var/log/kadmind.log [libdefaults] default_realm = EXAMPLE.LOCAL dns_lookup_realm = yes dns_lookup_kdc = yes ticket_lifetime = 24h renew_lifetime = 7d forwardable = true kdc_timesync = yes default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5 [realms] EXAMPLE.LOCAL = { kdc = example.local admin_server = example.local kpasswd_server = example.local default_domain = example.local }
При наличии администраторской учетной записи в домене, можно получить билет Кербероса:
kinit andy Password for andy@EXAMPLE.LOCAL:
Полученный билет можно поглядеть командной
klist
Для ввода компьютера в домен и получения keytab файла, небходимо воспользоваться утилитой msktutil. Она находится в EPEL репозитории. У меня эта последовательность команд записана в скрипт:
#!/bin/sh /usr/sbin/msktutil --create --base "CN=COMPUTERS" --service HTTP/alo-gateway1.example.local --hostname alo-gateway1.example.local \ --keytab /etc/squid/squid.HTTP.keytab --computer-name ALO-GATEWAY1 --upn HTTP/alo-gateway1.example.local --server alo-dc1.example.local \ --verbose --enctypes 28
Если утилита отработала правильно, то мы должны получить файл /etc/squid/squid.HTTP.keytab. После этого, необходимо предоставить права на чтение этого файла squid'ом, а так же, сделать его владельцем данного файла:
chown squid:squid /etc/squid/squid.HTTP.keytab chmod 640 /etc/squid/squid.HTTP.keytab
Теперь уничтожаем билет кербероса
kdestroy
А на контроллере домена, в разделе Active Directory Users and Computers -> Computers, выбираем наш сервер со squid'ом и, щелкнув на нем правой кнопкой мыши, выбираем "Переустановить учтеную запись". Теперь, попробуем обновить keytab файл:
#!/bin/sh /usr/sbin/msktutil --auto-update --verbose --computer-name alo-gateway1 -k /etc/squid/squid.HTTP.keytab
Что бы Squid мог использовать keytab файл, надо изменить стартовый скрипт squid'а, добавив в него следующие строки:
KRB5_KTNAME=/etc/squid/squid.HTTP.keytab export KRB5_KTNAME