Autenticação "transparente" com pfsense + squid + active directory

marcelloc

filipe.nanclarez,

Você fez um join via rpc e não via ads.
Este procedimento pode funcionar porém é mais antigo ainda.

Parabéns pela configuração e não esqueça de monitorar o funcionamento. ;)

att,
Marcello Coutinho

filipe.nanclarez

humm, deve ser por isso que ferrou todo o meu AD, agora o servidor não funfa mais…

rsrs

e eu que pensei que estava indo bem ...

vamos lá, tô formatando tudo novamente ...

filipe.nanclarez

UHUUUUUUUU

;D ;D ;D ;D ;D ;D

Consegui….

Pessoal, apenas para compartilhar com voces um resumo da historia.

1º O primeiro erro com o kinit, eu não tinha colocado o realm em maiuscula.

2º O segundo problema com Invalid Credentials, eu estava colocando no NetBios Name o nome do PDC, mas é o nome do pfSense. Agradeço ao johnnybe que deu a luz nesse caso.

3º No exemplo, em alguns lugares tem um ponto "." apos o nome do domínio.
Eu achei que isso era um erro de digitação, mas não é. Só é erro de digitação no comando net ads join, onde no exemplo ele coloca o ponto no final. Nesse caso dá erro. Mas nos arquivos, o ponto existe, e funciona com ele sim.

4º As ultimas alterações que mencioei sobre alterar o /etc/nsswitch.conf, e dar o join via rpc, devem ser ignoradas. Foram tentativas ás cegas, mas depois de formatar tudo, e refazer do zero, elas não são necessárias. Basta respeitar as observações acima.

Espero que ajude aos novos que não estão muito familiarizados ao ambiente como eu.

Agradeço especialmente ao marcelloc, pela paciencia, e ao dougf4nie pelo interesse.

;)

filipe.nanclarez

Pessoal, só mais uma coisinha.

Não é querer pedir demais, mas acontece o seguinte.

O PC no dominio, e logado, entra na net certinho, registrando o usuário etc…

Agora, reproduzi um ambiente, onde outra vm simulando um note externo, fora do dominio, tenta acessar a net. Ele pede a senha, mas quando eu digito, não entra, volta o popup. Já tentei

administrator
administrator@virtual.local
adiministrator@VIRTUAL.LOCAL
VIRTUAL\administrator
virtual\administrator

... e nada.

Os funcionários tá blz, não tá pedindo a senha, mas para os clientes, se pedir a senha, eu gostaria de passar um usuário e eles poderem navegar normal.

Alguma idéia?

marcelloc

veja qual é o winbind separator no smb.conf, o exemplo do tutorial sugere o +

/usr/local/bin/ntlm_auth –helper-protocol=squid-2.5-basic

mydomain+myuser mypasswd
OK

Se não der certo, tente colocar estas linhas no campo custom do squid, lembrando que tem que substituir <enter>por ;

warning: basic authentication sends passwords plaintext

a network sniffer can and will discover passwords

auth_param basic program /usr/local/bin/ntlm_auth –helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours

juntando tudo fica mais ou menos asssim:

auth_param ntlm program /usr/local/bin/ntlm_auth --use-cached-creds --helper-protocol=squid-2.5-ntlmssp;auth_param ntlm children 30;auth_param ntlm keep_alive on;auth_param basic program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic;auth_param basic children 5;auth_param basic realm Squid proxy-caching web server;auth_param basic credentialsttl 2 hours;acl password proxy_auth REQUIRED;http_access allow password
```</enter>

filipe.nanclarez

não achei esse parametro no meu smb.conf, nem no backup …

o comado

/usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic

dá erro, "no such user"

filipe.nanclarez

marcelloc, desfarça, eu viajei ali …

então, estavamos achando que era uma coisa e é outra.

quando entrei novamente na conta de usuaário tambem deu popup.

ai eu fui fazer os testes novamente no shell, e tava dando host não encontrado.

ai eu vi que no resolv.conf, ele tinha voltado as linhas que eu tinha comentado, quando eu reiniciei o servidor...

depois que eu comente as linhas de loopback, funcionou direito, tanto o usuario do dominio, quanto o pc que está fora do dominio e digita a senha.

como fazer para as alterações no resolv.conf ficarem permanentes ?

marcelloc

Tenta desabilitar o dns forwarder na aba services.

filipe.nanclarez

Então, as duas opções que eu usei foram

Na General Setup
Do not use the DNS Forwarder as a DNS server for the firewall

deixei marcado,

e opção

Allow DNS server list to be overridden by DHCP/PPP on WAN

deixei desmarcado …

e não esqueçe de deixar o ip do seu PDC no primeiro servidor DNS ( claro se ele for o DNS primário da rede. No meu caso o setup do DNS está como integrado ao AD)

Com esse setup, não faz muito sentido usar o DNS forwarder, mas se deixar ativo tambem não haverá problemas ...

Mais uma vez, muito obrigado marcelloc ;D

filipe.nanclarez

marcelloc, quando uma máquina nova, fora do dominio tenta acessr aparece assim

connecting to 192.168.15.101
user name:
password:
domain: WS001

Existe alguma configuração, onde eu possa alterar esses valores que ele já traz ? Ou seja, uma mensagem amigável, e já trazer o dominio correto ?

desde já, obrigado …

marcelloc

Se você esta falando da janela de popup, você pode mudar o texto no custom options que você já colocou no squid.

filipe.nanclarez

@marcelloc:

Se você esta falando da janela de popup, você pode mudar o texto no custom options que você já colocou no squid.

Então, lá deixei o texto do tutorial, para autenticar.

Onde eu acho a sintax para mudar a aparencia do popup ?

LFCavalcanti

Fala galera!

Eu não li o Tópico todo, é muito longo, mas resumindo:

gostaria de saber se deu certo e também se funciona para Windows Server 2008.

marcelloc

O procedimento funciona mas não testei em um ambiente 2008.

gst.freitas

Pessoal,

Não seria melhor fazer um novo post com resumo em definitivo.. e fixar para que seja usado como tutorial..

marcelloc

Seria melhor colocar isso no blog. ;) Alguém se habilita?

filipe.nanclarez

Eu me habilito com certeza, já tenho um txt quase pronto. Inclusive, se quiser, posso colocar esse passo a passo completo, pois o txt que fiz, contempla a instalação do pfSense, integração com o AD via NTLM (este post) depois integração com o RADIUS para vpn autenticando no AD, e WPAD no DHCP para configuração automática de proxy.

Mas não sei como fazer (aqui no fórum) ….

O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...

Funciona bem, e funciona no 2008 sim, eu faço no 2008 R2 (64x)

Marcelo, com relação a sintaxe para controlar a strings do popup, procurei mas não achei, vc tem essa sintaxe ?

JackL

@filipe.nanclarez:

Mas não sei como fazer (aqui no fórum) ….
O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...

filipe.nanclarez, basta acessar no Blog da Comunidade Brasileira do pfSense (http://www.pfsense-br.org/blog/), se registrar (criar uma conta) e postar o tutorial por lá… Você pode usar links, imagens e tudo que julgar necessário para ilustrar o tutorial.

Assim que tiver publicado por lá, basta avisar por aqui que o marcelloc insere uma chamada ao seu tutorial nos links fixos que ficam aqui em cima (área "sticky" do fórum).

Abraços!
Jack

filipe.nanclarez

@JackL:

@filipe.nanclarez:

Mas não sei como fazer (aqui no fórum) ….
O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...

filipe.nanclarez, basta acessar no Blog da Comunidade Brasileira do pfSense (http://www.pfsense-br.org/blog/), se registrar (criar uma conta) e postar o tutorial por lá… Você pode usar links, imagens e tudo que julgar necessário para ilustrar o tutorial.

Assim que tiver publicado por lá, basta avisar por aqui que o marcelloc insere uma chamada ao seu tutorial nos links fixos que ficam aqui em cima (área "sticky" do fórum).

Abraços!
Jack

Ok, obrigado. Assim que eu terminar aviso aqui.

alanjhone

Galera alguem poderia post um tutorial, porque tentei fazer do geito que sta no topico mais nao conseguir