Tutorial - SquidGuard + LdapGroup (permissão por grupo no ad)

marcelloc

Conseguir visualizar os usuários, estamos analisando se o problema esta no grupo ou em algum usuário desse grupo, assim que resolver posto o resultado.

Acentos e caracteres especiais dão problema com certeza.

ps:
Tente reduzir seus posts, fica difícil encontrar a informação que você incluiu.

fcruzcoelho

Marcelo,

Fiz um teste com 1800 usuarios em um grupo e rodei o script, o mesmo importou apenas 1500, usuários,
será que não tem algum bug no script que limita essa importação? estou debugando o maximo, pois tenho grupos,
Com 3000 usuarios não conheço nada de php, mas estou passando o feedback dos possiveis problemas encontrado.
para ajudar nas possiveis correções do mesmo.

Obrigado desde já.

lgcosta

@fcruzcoelho:

Marcelo,

Fiz um teste com 1800 usuarios em um grupo e rodei o script, o mesmo importou apenas 1500, usuários,
será que não tem algum bug no script que limita essa importação? estou debugando o maximo, pois tenho grupos,
Com 3000 usuarios não conheço nada de php, mas estou passando o feedback dos possiveis problemas encontrado.
para ajudar nas possiveis correções do mesmo.

Obrigado desde já.

O patch que fiz para o squidguard que faz consulta direto no servidor ldap não serve para o teu caso ?

http://forum.pfsense.org/index.php/topic,59242.0.html

fcruzcoelho

@Luiz:

@fcruzcoelho:

Marcelo,

Fiz um teste com 1800 usuarios em um grupo e rodei o script, o mesmo importou apenas 1500, usuários,
será que não tem algum bug no script que limita essa importação? estou debugando o maximo, pois tenho grupos,
Com 3000 usuarios não conheço nada de php, mas estou passando o feedback dos possiveis problemas encontrado.
para ajudar nas possiveis correções do mesmo.

Obrigado desde já.

O patch que fiz para o squidguard que faz consulta direto no servidor ldap não serve para o teu caso ?

http://forum.pfsense.org/index.php/topic,59242.0.html

Luiz, Obrigado pelo retorno, então eu ate instalei o patch que vc desenvolveu, mas o mesmo não funcionou.
Os usuarios autenticão mas não entra na politica de bloqueio do squidguard por grupo utilizando o seu patch.
deixando os usuarios com navegação full, houve alguma correção? poderia me ajudar com essas configurações.

Obrigado.

fcruzcoelho

@fcruzcoelho:

@Luiz:

@fcruzcoelho:

Marcelo,

Fiz um teste com 1800 usuarios em um grupo e rodei o script, o mesmo importou apenas 1500, usuários,
será que não tem algum bug no script que limita essa importação? estou debugando o maximo, pois tenho grupos,
Com 3000 usuarios não conheço nada de php, mas estou passando o feedback dos possiveis problemas encontrado.
para ajudar nas possiveis correções do mesmo.

Obrigado desde já.

O patch que fiz para o squidguard que faz consulta direto no servidor ldap não serve para o teu caso ?

http://forum.pfsense.org/index.php/topic,59242.0.html

Luiz, Obrigado pelo retorno, então eu ate instalei o patch que vc desenvolveu, mas o mesmo não funcionou.
Os usuarios autenticão mas não entra na politica de bloqueio do squidguard por grupo utilizando o seu patch.
deixando os usuarios com navegação full, houve alguma correção? poderia me ajudar com essas configurações.

Obrigado.

Luiz, Boa tarde

Fiz os teste om o seu patch e aparentemente esta funcionando, conseguir fazer fuincionar com a seguinte.

ldapusersearch ldap://domain.com.br:3268/DC=domain,DC=com,DC=br?sAMAccountName?sub?(&(sAMAccountName=%s)
(memberOf=CN=web_lib_dir%2cCN=Users%2cDC=domain%2cDC=com%2cDC=br))

Só não funciona quando o grupo faz parte de uma OU especifica tipo (AcessoWeb) vc conseguiu fazer esse teste.

Abs

richardlindo

Boa Tarde Pessoal.
Estou tentando configurar esse script https://github.com/ccesario/public/blob/master/squiguard_ldap.php mas devo estar esquecendo de algo e preciso de uma ajuda de vocês.
Tenho 3 grupos criados no ad, e criei esses 3 grupos também no squidguard.
No cenário atual , eu já consigo usar os usuarios do AD para navegar no proxy, ele até bloqueia normalmente.
Copiei o conteudo do script e fiz ele no filer. Mas quando tento executar o script ele retorna erro: On input file specified. Estou executando alguma coisa errada?

obrigado e no aguardo.

marcelloc

@richardlindo:

Copiei o conteudo do script e fiz ele no filer. Mas quando tento executar o script ele retorna erro: On input file specified. Estou executando alguma coisa errada?

Executou por onde? na console/ssh?

richardlindo

Opa, "tentei" executar no ssh. Não sei se estou tentando executar de forma erronea.

marcelloc

@richardlindo:

Opa, "tentei" executar no ssh. Não sei se estou tentando executar de forma erronea.

cola aqui o comando e o resultado.

richardlindo

Segue.

php.PNG_thumb

marcelloc

Aparentemente você não salvou o script em /root/squiguard_ldap.php

richardlindo

Pensei que fosse algo do genero tbm, mas ele existe no local indicado sim.

php2.PNG_thumb

richardlindo

@richardlindo:

Pensei que fosse algo do genero tbm, mas ele existe no local indicado sim.

Olá, alguém tem alguma dica do que fazer ?? Obrigado.

Augusto

Boa tarde!

Estou implementando a função de importação de usuário por grupos do AD e ainda não acertei!

Tenho a versão nova do SquidGuard que já possui o patch.

Efetuei os seguintes passos:

1º em LDAP Optios
- habilitei o LDAP Filter

Em LDAP DN : cn=squid,cn=Users,dc=mydomain,dc=local
Em LDAP Version : Version3

2º Em Groups ACL
Criei um group com nome de Users
Em Client Source passei o seguinte parametro: ldapusersearch ldap://10.10.20.11/DC=mydomain,DC=local?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=Users%2cDC=mydomain%2cDC=local))

Para efeito de teste neguei todo acesso para esta ACL…!all

Quando vou na estação e abro o navegador ele pede o usuário e senha....autentica normal mas não bloquei nada.

Alguma dica de onde posso estar errando?

lgcosta

@edge540:

Boa tarde!

Estou implementando a função de importação de usuário por grupos do AD e ainda não acertei!

Não entendi a questão de importação de usuários. Qual outro procedimento usou para a configuração acima ?

Augusto

Desculpa a falta de conhecimento…é que estou aprendendo!

Quando me escrevi importação dos usuários queria me referir ao PFSENSE consultar os usuário em detrerminado grupo no AD.

Inserindo manualmente cada usuário em groupACL ja tenho funcionando..quero que ele faça esta busca automaticamente....

Entendi "talvez equivocadamente" que esta configuração faz essa consulta no ad: ldapusersearch ldap://10.10.20.11/DC=mydomain,DC=local?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=Users%2cDC=mydomain%2cDC=local))

lgcosta

verifique a senha usada para a autenticação ldap. Normalmente é isso, infelizmente o parse da senha é bem restrito, veja o comentário na propria caixa de senha do formulário.

Procure também observar o log, se quiser ter um melhor parametro sobre o que acontece no squidguard, coloque a opção '-g' na linha de comando na caixa custom da configuração do Squid:

![Captura de tela - 20-08-2013 - 11:55:04.png](/public/imported_attachments/1/Captura de tela - 20-08-2013 - 11:55:04.png)
![Captura de tela - 20-08-2013 - 11:55:04.png_thumb](/public/imported_attachments/1/Captura de tela - 20-08-2013 - 11:55:04.png_thumb)

Augusto

@Luiz:

verifique a senha usada para a autenticação ldap. Normalmente é isso, infelizmente o parse da senha é bem restrito, veja o comentário na propria caixa de senha do formulário.

Procure também observar o log, se quiser ter um melhor parametro sobre o que acontece no squidguard, coloque a opção '-g' na linha de comando na caixa custom da configuração do Squid:

Gustavo…
Não sei se é assim mesmo que funciona.....mas gostaria de confirmar...
No SquidGuard>General Settings>LDAP Options.....assim que eu marco a caixa Enable LDAP Filter mesmo sem configurar o LDAP DN e senha, as estações conseguem navegar......pede autenticação mas não entra nas ACL´s Group....nem na nova onde estou tentando configurar a busca dos usuarios no AD nem na antiga onde os usuários estão inseridos manualmente...

Com relação as suas dicas....vou verificar!

lgcosta

Uma outra coisa, use o catalogo Global do AD.

Veja a referencia na url: http://www.squidguard.org/Doc/ldap-ad-tips.html

ddorts

Bom dia,

Primeiramente gostaria de parabenizar ao Luiz Gustavo, marcelloc e os demais amigos que diretamente ou indiretamente contribuem com este tópico, li todo o tópico e outros mais e neles compreendi algumas configurações, mas não consigo bloquear o acesso dos usuários dos grupos no AD (no meu caso Active Directory microsoft) por gentileza analisem meu cenário.

Meu cenário:

1 - windows 2008 server R2, nível funcional da floresta esta na versão R2 (AD + DNS)

2 - Pf Sense 2.0.3 i386 (squid 2.0.3 i386 + SquidGuard 1.4_4 pkg v.1.9.5)

minha autenticação com squid esta funcionando normalmente, em testes, os bloqueios (em group ACL) no squid guard, funcionam normalmente por ip, mas quando habilito o filtro LDAP (general settings) no squidguard, utilizando o mesmo usuário utilizado nas configurações de autenticação do squid,(cn=usuario,cn=Users,dc=dominio,dc=com) também deixo habilitado:

check box: Strip NT domain name
check box: Strip Kerberos Realm,
LDAP Version: version 3

No squid guard em (group ACL) crio um grupo com o nome idêntico ao nome do grupo criado no AD, no meu caso criei um grupo chamado 'teste', em Client (source) coloco a informação:

ldapusersearch ldap://192.168.0.236/DC=dominio,DC=com?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=teste%2cCN=Seguranca%2cCN=Grupos%2cDC=dominio%2cDC=com))

(e marco em target rules o tipo de conteúdo que quero bloquear para este grupo)

Considerações:

No meu caso o grupo 'teste' esta neste caminho "dominio.com/Grupos/Seguranca/teste", ou seja dentro de duas 'OU' , no grupo 'teste' tenho dois usuários, o meu usuário, e também o usuário utilizado para autenticar no AD o squid e o squidGuard, estes usuários fazem parte de outros grupos também não sei se isto seria um problema.

Com este cenário no teste de navegação a conexão passa normalmente (não bloqueia), quando executo (via ssh):
tail /var/squid/logs/cache.log

ele me retorna isto:
2013-08-27 11:24:30 [60130] New setting: ldapprotover: 3
2013-08-27 11:24:30 [60130] syntax error in configfile /usr/local/etc/squidGuard
/squidGuard.conf line 13
2013-08-27 11:24:30 [60130] Going into emergency mode
2013/08/27 11:24:30| Accepting proxy HTTP connections at 192.168.0.8, port 3128,

olhando o arquivo /usr/local/etc/squidGuard/squidGuard.conf :

============================================================

SquidGuard configuration file

This file generated automaticly with SquidGuard configurator

(C)2006 Serg Dvoriancev

email: dv_serg@mail.ru

============================================================

logdir /var/squidGuard/log
dbhome /var/db/squidGuard
ldapbinddn cn=saocamilo,cn=Users,dc=gruposaocamilo,dc=com
ldapbindpass saocamilo
ldapprotover 3
stripntdomain true
striprealm true

src teste {
ldapusersearch

Alguém teve este mesmo problema? Aos amigos Luiz Gustavo e marcelloc se lerem sobre meu caso, estou configurando algo de errado ou esquecendo algo?

Dede já grato pela ajuda de todos,

Att.