Autenticação "transparente" com pfsense + squid + active directory

filipe.nanclarez

Você pode seguir o tutorial ntlm mais atual do site do squid sem problemas. Toma cuidado só com a questão da localização das pastas.

então, usei ele só para verificar como deveria fazer as substituições dos valores, mas estou seguindo o seu pra não bagunçar aqui.

estou recebendo o primeiro erro novamente (depois de arrumar o dns, e acertar o ntp):

kinit: krb5_get_init_creds: unable to reach any KDC in realm virtual.local

no join, retorna:

Failed to join domain: failed to connect to AD: Operations error

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

filipe.nanclarez

pessoal, alguma luz ?

marcelloc, quando voce conseguiu foi no windows 2003 ?

filipe.nanclarez

Toda vez que arrumo o dns, ele dá outro erro, dá password incorrect.

Já mudei a senha, mas continua dando isso.

Há algum log onde eu possa identificar o que está acontecendo ?

marcelloc

@filipe.nanclarez:

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

da uma olhada nos logs do samba /var/log/samba/

olha tambem nos logs no windows para ver se aparece alguma coisa

@filipe.nanclarez:

marcelloc, quando voce conseguiu foi no windows 2003 ?

Sim, foi no 2003

filipe.nanclarez

@marcelloc:

@filipe.nanclarez:

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

da uma olhada nos logs do samba /var/log/samba/

a pasta esta vazia …

filipe.nanclarez

marcelloc, tem um arquivo que eu não estou vendo

é o /var/kerberos/krb5kdc/kadm5.keytab

eu mudei a pasta de acordo com o caminho para

/var/heimdal/kadm5.keytab

ele não está gerando … algo a mais que preciso fazer ?

marcelloc

O keytab é gerado no ad. ainda não vi nenhum port do mskutil para o freebsd.

filipe.nanclarez

marcelloc, vou instalar um 2003 para podermos isolar as variaveis

em qual versão do pf voce fez ? e a versão do squid ?

dougf4nnie

Senhores Boa Noite!

Primeiramente obrigado marcelloc pelo caminho das pedras :).

Durante o dia realizei alguns testes seguindo a orientação do macelloc e consegui uns tropeços e acertos, agora vim informar que obtive êxito na configuração com autenticação transparente sem o pop-up.

Cenário:

Controlador de dominio usado para autenticar: Windows Server 2008 R2.
Clientes testados: Windows XP e 7
Versão do squid utilizado: Squid Cache: Version 2.7.STABLE9

Problemas encontrados:

Ao reiniciar o servidor pfsense e tentar navegar novamente… a janela de autenticação era apresentada... logo fui ver se o serviço do samba (winbindd) estava e iniciado, mas o mesmo estava parado.

Tentei iniciar e o serviço não subia:

[2.0.1-RELEASE][root@trinity.domain.local]/: /usr/local/etc/rc.d/samba onestart
Removing stale Samba tdb files: . done
Starting winbindd.
[2.0.1-RELEASE][root@trinity.domain.local]/: /usr/local/etc/rc.d/samba onestatus
winbindd is not running.

Fui ver o log do samba e encontro:

lib/pidfile.c:130(pidfile_create ERROR: can't open /var/run/samba/winbindd.pid: Error was No such file or directory

Ou seja… quando o pfsense reiniciou o diretorio /var/run/samba tinha sumido!... só foi cria-lo novamente na mão e o serviço voltou a funcionar juntamente com à autenticação transparente.

Agora vem as dúvidas:

Como fazer para que o serviço seja iniciado automaticamente? (criei e editei o arquivo /etc/rc.conf mas ele some depois que inicia o servidor).
Depois que o servidor inicia é necessário utilizar novamente o comando kinit?
Quando instalei o samba ele gerou um erro informando que havia um conflito de pacote que existia, porém se eu removesse ele implicava dizendo que o squid depende dele... o que fiz foi forçar a instalação e ele pulou essa etapa.

filipe.nanclarez

Peraí pessoal, não é possível. Todo mundo tá fazendo isso dar certo.

Estou a três dias nisso. Não é possível que eu sou tão leigo assim.

doug, como voce fez isso funcionar. Segui o tutorial, e ainda não achei a parte onde precisa instalar o winbind. Na realidade, tentei dar um start no serviço do samba e não rolou, sem falar nos logs que até agora não aparecem.

Fiz passo a passo, e quando tento usar o kinit, ele dá password invalid ….

Já fiz, e refiz, e formatei várias vezes.

Tem algo que eu não sei ? algum comando que está sendo dado, por se muito óbvio e eu não estou fazendo ?

Por gentileza, meu ambiente é o mesmo que o seu, me ajude a fazer funcionar, pelo menos uma vez ...

marcelloc

@filipe.nanclarez:

marcelloc, vou instalar um 2003 para podermos isolar as variaveis

Em qual versão do pf voce fez ? e a versão do squid ?

pfsense 2.0.1 64 bits
squid 2.x da instalação dos pacotes

marcelloc

@dougf4nnie:

Como fazer para que o serviço seja iniciado automaticamente? (criei e editei o arquivo /etc/rc.conf mas ele some depois que inicia o servidor).

Edite o arquivo /usr/local/etc/rc.d/samba e mude tudo o que estiver com NO para YES

@dougf4nnie:

Depois que o servidor inicia é necessário utilizar novamente o comando kinit?

Acredito que não. Já vi minha chave vencer e o serviço continuou no ar. Porém é melhor testar

@dougf4nnie:

Quando instalei o samba ele gerou um erro informando que havia um conflito de pacote que existia, porém se eu removesse ele implicava dizendo que o squid depende dele… o que fiz foi forçar a instalação e ele pulou essa etapa.

pkg_add -r é utilizado com uma certa freqüência nas instalações de pacotes no pfsense.

Parabéns pelo setup. ;)

marcelloc

@filipe.nanclarez:

Segui o tutorial, e ainda não achei a parte onde precisa instalar o winbind. Na realidade, tentei dar um start no serviço do samba e não rolou, sem falar nos logs que até agora não aparecem.

Altere o script de inicialização como descrito acima.
O winbind é um dos binarios instalados pelo pacote do samba

@filipe.nanclarez:

Fiz passo a passo, e quando tento usar o kinit, ele dá password invalid ….

Já tentou uma senha sem caracteres especiais ou a prova de configuração de teclados?

@filipe.nanclarez:

Já fiz, e refiz, e formatei várias vezes.
Tem algo que eu não sei ? algum comando que está sendo dado, por se muito óbvio e eu não estou fazendo ?
Por gentileza, meu ambiente é o mesmo que o seu, me ajude a fazer funcionar, pelo menos uma vez …

Continue tentando, não desista! Tenho certeza que o problema vai estar em algum detalhe deixado para trás. :)

filipe.nanclarez

puxa gente … que sofrimento ...

venho compartilhar com vocês como fiz para conseguir fazer o kinit funcionar ...

lendo um artigo a respeito em http://www.vivaolinux.com.br/artigo/Linux-e-Active-Directory-(Integrando-COMPLETAMENTE-sua-estacao-Linux-a-um-dominio-MS-Windows-2000-2003-Server)?pagina=5

vi a seguinte frase ...

IMPORTANTE: Observe que o realm foi especificado com caracteres em maiúsculo. Este é um requisito do krb5. Caso você se esqueça e coloque em minúsculo ocorrerá um erro (que será visto mais adiante).

dificil de acreditar, mas era exatamente isso que estava dando problema ….

agora vou continuar com os testes ....

obrigado a todos ...

marcelloc

Bom, estava nos pequenos detalhes. :)

Se você voltar no tutorial, vai ver que o realm está em maiúsculo.

Segunda dica, o universo unix/linux é praticamente 100% case sensitive, ou seja, caracteres minúsculos são diferentes de caracteres maiúsculos.

filipe.nanclarez

é, não tenho como negar que eu já sabia do case sensitive, só não tive essa percepção por estar acostumado com windows.

agora, só estou estranhando o seguite, quando dou o net ads join, e digito a senha, ele fica sem fazer nada, não dá msg, não volta para o prompt, fica lá …

demora tudo isso mesmo ? já cancelei tentei denovo, esperei mais de 20min ... e nada ....

marcelloc

Quando esta tudo ok, o processo com um servidor na mesma rede local demora 1 segundo. :P

Confere a resolução de nome denovo e tenta pingar o servidor ad para testara comunicação.

Você já verificou se no arquivo de configuração do samba não esta faltando acertar alguma coisa?

dougf4nnie

marcelloc,

Fiz a alteração que você recomendou: editei o arquivo /usr/local/etc/rc.d/samba mudando tudo que estava com NO para YES. Esta dica resolveu a questão de iniciar o serviço do samba que antes so funcionava com o comando onestart no final.

Acredito que agora o que falta resolver é a questão do diretorio que é apagado quando reinicio o pfsense (/var/run/samba), este dir. é necessário para subir o serviço do samba, pra poder funcionar normal tenho que criar manualmente… alguma idéia?

E ae filipe.nanclarez, algum progresso?

marcelloc

Coloca o mkdir no script também.

mkdir -p /var/run/samba

Talvez seja necessário colocar o caminho completo do mkdir no script de inicialização.

filipe.nanclarez

Então, formatei novamente as VMs, instalei primeiro o DC certinho, do zero sem nenhum erro eventviewer.

Depois, fiz o passo a passo cuidadosamente. Fiquei contente com o kinit que deu certo.

Mas o join não vai. dá o seguinte erro.

kinit succeeded but ads_sasl_spnego_krb5_bind failed: Invalid credentials
Failed to join domain: failed to connect to AD: Invalid credentials

Já procurei esse erro na net e vi várias pessoas com esse problema, mas não achei uma solução ainda …