pfSense + squid. Не работает доменная авторизация.
-
Всем добрый день. Настраивал pfsense + squid по этому мануалу https://forum.netgate.com/topic/148868/pfsense-squid-adgroups-https, уже неделю мучаюсь с тем, что в браузере у пользователя запрашивает логин и пароль от прокси сервера, по идее должны подходить учетные данные от пользователя, который в соответствующей группе AD, но это не работает. В Groups ACL стоит такой фильтр - ldapusersearch ldap://dc-01.ax.loc:3268/DC=ax,DC=loc?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=pfsense_proxy_group%2cCN=Users%2cDC=ax%2cDC=loc))
Пишу сюда от безысходности и надеюсь на вашу помощь.
Версия ПФ: 2.5.1-RELEASE (amd64)
built on Mon Apr 12 07:50:14 EDT 2021
FreeBSD 12.2-STABLE!
-
Добрый
@kranky
Запрос ldapusersearch ldap://dc-01.ax.loc:3268/DC=ax,DC=loc?sAMAccountName?sub?(&(sAMAccountName=%s)(memberOf=CN=pfsense_proxy_group%2cCN=Users%2cDC=ax%2cDC=loc)) правильно отрабатывает? Проверяли в консоле?Может чего в комментах найдете https://habr.com/ru/post/492684/
-
@werter в консоли выдает такую ошибку, что она означает пока тоже не понял.
вчера победил всплывающее окошко с требованием ввести логин и пароль, хотя победой это не назовешь конечно. в настройках прокси сервера (в панели управления) просто вместо ip указал hostname, то есть - https://pfsense:3128. по сути проблема лишь в том, что у сквида нет связи с АД, чтобы на основе групп блокировался или разрешался интернет.
-
@werter сопутствующий вопрос, в полях LDAP Server User DN и LDAP DN должна быть одна и та же учетная запись? и в каком виде? просто сколько уже форумов не читал, однозначного ответа так и не нашел :с
-
@werter команда /usr/local/libexec/squid/basic_ldap_auth -v 3 -b DC=ax,AC=loc -D CN=squid,CN=Users,DC=ax,DC=loc -w password -f "sAMAccountName=%s" -u uid -P dc-01.ax.loc:389
squid passwordвыдает такую ошибку
basic_ldap_auth: WARNING, LDAP search error 'Operations error'
BH Operations error -
@kranky
Тут сверялись https://habr.com/ru/post/492684/ ? -
@kranky
Еще
https://youtu.be/nrIXEaeji5w?t=58 -
@werter Вы даже не представляете, сколько я материала перелопатил на эту тему, включая все видео на ютубе)
Банально уже идеи закончились, хотя по сути должно работать. Я больше грешу на то, что у сквида по каким-то причинам нет связи с LDAP, поэтому все остальное соответственное тоже не работает. Если руками прописать адрес прокси сервера на клиенте, то интернет блокируется, да, но без журналирования и ограничения его на основе AD групп - это вообще не вариант.
Еще обратил внимание, что по пути /usr/local/libexec/squid/ отсутствует хелпер squid_ldap_group, который имеет место быть во многих мануалах, тоже странный момент.
-
@kranky
удалить сквид, почистить остатки ,установить сквид ? -
@kranky
LDAP Username DN Attribute : sAMAccountNameУ Вас LDAP Username DN Attribute: uid