Autenticação "transparente" com pfsense + squid + active directory
-
UHUUUUUUUU
;D ;D ;D ;D ;D ;D
Consegui….
Pessoal, apenas para compartilhar com voces um resumo da historia.
1º O primeiro erro com o kinit, eu não tinha colocado o realm em maiuscula.
2º O segundo problema com Invalid Credentials, eu estava colocando no NetBios Name o nome do PDC, mas é o nome do pfSense. Agradeço ao johnnybe que deu a luz nesse caso.
3º No exemplo, em alguns lugares tem um ponto "." apos o nome do domínio.
Eu achei que isso era um erro de digitação, mas não é. Só é erro de digitação no comando net ads join, onde no exemplo ele coloca o ponto no final. Nesse caso dá erro. Mas nos arquivos, o ponto existe, e funciona com ele sim.4º As ultimas alterações que mencioei sobre alterar o /etc/nsswitch.conf, e dar o join via rpc, devem ser ignoradas. Foram tentativas ás cegas, mas depois de formatar tudo, e refazer do zero, elas não são necessárias. Basta respeitar as observações acima.
Espero que ajude aos novos que não estão muito familiarizados ao ambiente como eu.
Agradeço especialmente ao marcelloc, pela paciencia, e ao dougf4nie pelo interesse.
;)
-
Pessoal, só mais uma coisinha.
Não é querer pedir demais, mas acontece o seguinte.
O PC no dominio, e logado, entra na net certinho, registrando o usuário etc…
Agora, reproduzi um ambiente, onde outra vm simulando um note externo, fora do dominio, tenta acessar a net. Ele pede a senha, mas quando eu digito, não entra, volta o popup. Já tentei
administrator
administrator@virtual.local
adiministrator@VIRTUAL.LOCAL
VIRTUAL\administrator
virtual\administrator... e nada.
Os funcionários tá blz, não tá pedindo a senha, mas para os clientes, se pedir a senha, eu gostaria de passar um usuário e eles poderem navegar normal.
Alguma idéia?
-
veja qual é o winbind separator no smb.conf, o exemplo do tutorial sugere o +
/usr/local/bin/ntlm_auth –helper-protocol=squid-2.5-basic
mydomain+myuser mypasswd
OKSe não der certo, tente colocar estas linhas no campo custom do squid, lembrando que tem que substituir <enter>por ;
warning: basic authentication sends passwords plaintext
a network sniffer can and will discover passwords
auth_param basic program /usr/local/bin/ntlm_auth –helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hoursjuntando tudo fica mais ou menos asssim:
auth_param ntlm program /usr/local/bin/ntlm_auth --use-cached-creds --helper-protocol=squid-2.5-ntlmssp;auth_param ntlm children 30;auth_param ntlm keep_alive on;auth_param basic program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic;auth_param basic children 5;auth_param basic realm Squid proxy-caching web server;auth_param basic credentialsttl 2 hours;acl password proxy_auth REQUIRED;http_access allow password ```</enter> -
-
marcelloc, desfarça, eu viajei ali …
então, estavamos achando que era uma coisa e é outra.
quando entrei novamente na conta de usuaário tambem deu popup.
ai eu fui fazer os testes novamente no shell, e tava dando host não encontrado.
ai eu vi que no resolv.conf, ele tinha voltado as linhas que eu tinha comentado, quando eu reiniciei o servidor...
depois que eu comente as linhas de loopback, funcionou direito, tanto o usuario do dominio, quanto o pc que está fora do dominio e digita a senha.
como fazer para as alterações no resolv.conf ficarem permanentes ?
-
Tenta desabilitar o dns forwarder na aba services.
-
Então, as duas opções que eu usei foram
Na General Setup
Do not use the DNS Forwarder as a DNS server for the firewalldeixei marcado,
e opção
Allow DNS server list to be overridden by DHCP/PPP on WAN
deixei desmarcado …
e não esqueçe de deixar o ip do seu PDC no primeiro servidor DNS ( claro se ele for o DNS primário da rede. No meu caso o setup do DNS está como integrado ao AD)
Com esse setup, não faz muito sentido usar o DNS forwarder, mas se deixar ativo tambem não haverá problemas ...
Mais uma vez, muito obrigado marcelloc ;D
-
marcelloc, quando uma máquina nova, fora do dominio tenta acessr aparece assim
connecting to 192.168.15.101
user name:
password:
domain: WS001Existe alguma configuração, onde eu possa alterar esses valores que ele já traz ? Ou seja, uma mensagem amigável, e já trazer o dominio correto ?
desde já, obrigado …
-
Se você esta falando da janela de popup, você pode mudar o texto no custom options que você já colocou no squid.
-
Se você esta falando da janela de popup, você pode mudar o texto no custom options que você já colocou no squid.
Então, lá deixei o texto do tutorial, para autenticar.
Onde eu acho a sintax para mudar a aparencia do popup ?
-
Fala galera!
Eu não li o Tópico todo, é muito longo, mas resumindo:
gostaria de saber se deu certo e também se funciona para Windows Server 2008.
-
O procedimento funciona mas não testei em um ambiente 2008.
-
Pessoal,
Não seria melhor fazer um novo post com resumo em definitivo.. e fixar para que seja usado como tutorial..
-
Seria melhor colocar isso no blog. ;) Alguém se habilita?
-
Eu me habilito com certeza, já tenho um txt quase pronto. Inclusive, se quiser, posso colocar esse passo a passo completo, pois o txt que fiz, contempla a instalação do pfSense, integração com o AD via NTLM (este post) depois integração com o RADIUS para vpn autenticando no AD, e WPAD no DHCP para configuração automática de proxy.
Mas não sei como fazer (aqui no fórum) ….
O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...
Funciona bem, e funciona no 2008 sim, eu faço no 2008 R2 (64x)
Marcelo, com relação a sintaxe para controlar a strings do popup, procurei mas não achei, vc tem essa sintaxe ?
-
Mas não sei como fazer (aqui no fórum) ….
O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...filipe.nanclarez, basta acessar no Blog da Comunidade Brasileira do pfSense (http://www.pfsense-br.org/blog/), se registrar (criar uma conta) e postar o tutorial por lá… Você pode usar links, imagens e tudo que julgar necessário para ilustrar o tutorial.
Assim que tiver publicado por lá, basta avisar por aqui que o marcelloc insere uma chamada ao seu tutorial nos links fixos que ficam aqui em cima (área "sticky" do fórum).
Abraços!
Jack -
Mas não sei como fazer (aqui no fórum) ….
O que preciso ? Já tenho ele pronto porque estava preparando um tutorial para o meu funcionário fazer lá na empresa ...filipe.nanclarez, basta acessar no Blog da Comunidade Brasileira do pfSense (http://www.pfsense-br.org/blog/), se registrar (criar uma conta) e postar o tutorial por lá… Você pode usar links, imagens e tudo que julgar necessário para ilustrar o tutorial.
Assim que tiver publicado por lá, basta avisar por aqui que o marcelloc insere uma chamada ao seu tutorial nos links fixos que ficam aqui em cima (área "sticky" do fórum).
Abraços!
JackOk, obrigado. Assim que eu terminar aviso aqui.
-
Galera alguem poderia post um tutorial, porque tentei fazer do geito que sta no topico mais nao conseguir
-
Galera alguem poderia post um tutorial, porque tentei fazer do geito que sta no topico mais nao conseguir
Estou fazendo, assim que terminar eu aviso aqui …
Qual erro que deu no seu setup ?
-
Filipe, Bom dia.
Cara, estou apannhando feio aqui para implementar esse cenário, dê um help por favor.
Instalei os pacotes conforme dicas do Marcello, porém quando instalo o samba via pkg_add ele não instala o suporte a ADS, como você fez para instala-lo?
mesmo sem o suporte ao ADS, quando teste via kinit mesmo tendo certeza que coloco a senha correta ele retorna kinit: password incorrect
dê uma luz por favor, nobre mortal que já passou por isso!!!
