Netgate Discussion Forum
    • Categories
    • Recent
    • Tags
    • Popular
    • Users
    • Search
    • Register
    • Login

    Squid+AD+Kerberos+https without password

    Scheduled Pinned Locked Moved Russian
    49 Posts 4 Posters 9.4k Views
    Loading More Posts
    • Oldest to Newest
    • Newest to Oldest
    • Most Votes
    Reply
    • Reply as topic
    Log in to reply
    This topic has been deleted. Only users with topic management privileges can see it.
    • F
      flamel @Gonzales
      last edited by

      @Gonzales в общем победил тем что сделал новый кейтаб с прежним шифрованием, и все заработало, я от радости чуть не умер, но радость была не долгой, через пол часа аутентификация отвалилась с ошибкой:

      Date-Time	Сообщение
      01.01.1970 10:00:00	negotiate_kerberos_auth: ERROR: gss_accept_sec_context() failed: Unspecified GSS failure. Minor code may provide more information. Request ticket server HTTP/Pfsense.primvoda.local@PRIMVODA.LOCAL not found in keytab (ticket kvno 8)
      

      и почему то все даты стали 01.01.1970

      1 Reply Last reply Reply Quote 0
      • werterW
        werter
        last edited by werter

        Добрый

        https://forum.netgate.com/topic/128203/squid-ad-kerberos/

        Нашёл в документации хелпера, параметр -t ^_^/
        Итоговая запись:
        auth_param negotiate program /usr/local/libexec/squid/negotiate_kerberos_auth -s GSS_C_NO_NAME -k /usr/local/etc/squid/proxy.keytab -t none

        https://blog.stefan-macke.com/2011/04/19/single-sign-on-with-kerberos-using-debian-and-windows-server-2008-r2/

        Unspecified GSS failure. Minor code may provide more information (, )
        → wrong kvno or machine password in /etc/krb5.keytab → recreate the keytab using the correct information
        → OR problem with local Kerberos ticket cache on your workstation, use Kerbtray.exe to purge the ticket cache and open the website in IE again

        Вместо Kerbtray пользовать klist (https://blogs.technet.microsoft.com/tspring/2014/06/23/viewing-and-purging-cached-kerberos-tickets/)

        https://forum.ubuntu.ru/index.php?topic=279873.0

        еще важно в настройках прокси писать имя прокси сервера так, как это было при получении keytab файла, настраиваем DNS прямую и обратную зоны, или вообще используем всегда только ip адрес, но важно чтобы всегда всё было одинаково. Например для моего домена domain.ru и имени прокси squid мы делаем keytab для squid.domain.ru, соответственно например в винде в настройках прокси пишем squid.domain.ru, а не просто squid или 192.168.1.7
        у вас соответственно s76-proxy.yar.local но не 10.42.60.23
        Помогла вот эта статья, рекомендую
        https://rtzra.ru/wiki/software/squid/squid-active-directory-kerberos

        Подробный мануал по squid + ldap + kerberos. Рекомендую заглянуть docs.diladele.com/administrator_guide_stable/active_directory/index.html

        https://www.linux.org.ru/forum/general/14639957
        https://www.opennet.ru/openforum/vsluhforumID12/7019.html
        Целых 10 статей по настройке squid blog.it-kb.ru/2014/06/16/forward-proxy-squid-3-3-on-ubuntu-server-14-04-lts-part-1-install-os-on-hyper-v-generation-2-vm/

        Зы. Нашел еще "Снижение нагрузки на процессорные ресурсы при использовании хелпера Kerberos-аутентификации (negotiate_kerberos_auth) для прокси-сервера Squid 3" blog.it-kb.ru/2015/04/30/reduction-of-high-peak-load-on-cpu-resources-by-using-kerberos-authentication-helper-negotiate_kerberos_auth-for-the-squid-3-proxy-server/ Может пригодиться.

        1 Reply Last reply Reply Quote 2
        • werterW
          werter
          last edited by

          Добрый.
          @flamel
          Все карты на руках. Ждем мануал с картинками )

          F 1 Reply Last reply Reply Quote 0
          • F
            flamel @werter
            last edited by

            @werter мануал будет, но чуть позже, все удалось, последнее с чем столкнулся это запаковка http 1.1 не работала, победил скобочками) правда попытался в группе добавить уведомление в случае когда ресурс заблокирован, но чувствую для этого надо.будет простенькую интернет страничку делать или забить, завтра гляну что да как, к сожалению на работе не дают много времени уделять данной задаче

            1 Reply Last reply Reply Quote 0
            • werterW
              werter
              last edited by werter

              @flamel
              Супер ) Ждем.

              ЗЫ. techexpert.tips/category/pfsense/ - настройка pfsense + AD + radius
              И не только пф - techexpert.tips/tutorial/ ( напр., zabbix - techexpert.tips/category/zabbix/ )

              1 Reply Last reply Reply Quote 0
              • F
                flamel
                last edited by

                Просто офигенная ситуация, все работает, все замечательно, но в логах периодически возникает

                ERROR: URL-rewrite produces invalid request: GET ERR HTTP/1.1
                

                Проблема решается добавление в SG на учетке для LDAP скобочек, например:

                'cn=sg,ou=account,dc=domain,dc=local'
                

                НО! Из за этого отваливается фильтрация по группам с ошибкой

                (squidGuard): ldap_simple_bind_s failed: Invalid credentials
                

                И тут я уже не знаю даже куда смотреть)

                1 Reply Last reply Reply Quote 0
                • werterW
                  werter
                  last edited by werter

                  @flamel said in Squid+AD+Kerberos+https without password:

                  ERROR: URL-rewrite produces invalid request: GET ERR HTTP/1.1

                  Редирект на внутреннюю страницу с блокировкой настроен? Или вовне?

                  Зы. А если "cn=sg,ou=account,dc=domain,dc=local" и перезапустить сквид?

                  F 1 Reply Last reply Reply Quote 0
                  • F
                    flamel @werter
                    last edited by

                    @werter с редиректом мне совсем непонятно, он или не работает или я его не так настраиваю, что на сообщение, что на внешнюю страницу.
                    Двойные скобочки тоже пробовал, одинаковый результат, SG просто умирает

                    1 Reply Last reply Reply Quote 0
                    • werterW
                      werter
                      last edited by werter

                      @flamel

                      Версии сквида и гварда самые свежие?

                      В англоветке еще попробуйте спросить.

                      Зы. Ждем статью с картинками. Давайте так, как есть на данный момент. И с листингом конф. файлов.

                      F 1 Reply Last reply Reply Quote 0
                      • F
                        flamel @werter
                        last edited by

                        @werter самого нового в ПФ сенс нет вообще, а именно из доступных в ПФ самое новое, гайд будет, в любом случае такая задача стоит от начальства и продублировать сюда не сложно) но придется с этим подождать ТК мне банально не дают этим заняться понизив приоритет. :(

                        1 Reply Last reply Reply Quote 0
                        • milleniumM
                          millenium
                          last edited by

                          ждем не дождемся мануалов с картинками от автора топега ..🎅

                          F 1 Reply Last reply Reply Quote 0
                          • F
                            flamel @millenium
                            last edited by

                            @millenium https://forum.netgate.com/topic/148868/pfsense-squid-adgroups-https/2 уже написано и опубликовано)

                            1 Reply Last reply Reply Quote 0
                            • First post
                              Last post
                            Copyright 2025 Rubicon Communications LLC (Netgate). All rights reserved.