Autenticação "transparente" com pfsense + squid + active directory

filipe.nanclarez

agora recebo o seguinte erro:

kinit: krb5_get_init_creds: unable to reach any KDC in realm virtual.local

teria alguma coisa a ver com colocar o ip no arquivo hosts para ele achar ?

editado

coloquei o seguinte conteudo no meu /etc/hosts

127.0.0.1 localhost localhost.localdomain
192.168.15.101 pfsense.localdomain pfsense
192.168.15.2 pdc001.virtual.local pdc001

mas mesmo assim, o erro permanece …

filipe.nanclarez

Tentei ignorar esse passo, e dar o join

net ads join -U Administrator@virtual.local
retorna a seguinte mensagem

kinit succeeded but ads_sasl_spnego_krb5_bind failed: Invalid credentials
Failed to join domain: failed to connect do AD: Invalid credentials

thimoura

Não vejo a hora de arrumar tempo pra testar o ambiente!

filipe.nanclarez

@Thiago:

Não vejo a hora de arrumar tempo pra testar o ambiente!

Estou tentando com pf 2.0.1 e Windows 2008 Server R2 …

marcelloc, o seu ambiente era esse mesmo ?

filipe.nanclarez

Como devo substituir essa linha do tutorial ?

password server = ad-master.domain.com.au

eu fiz assim, mas fiquei na dúvida

password server = pdc001.virtual.local

marcelloc

filipe.nanclarez,

Marque o dns do firewall com o ip do ad, o samba/kerberos precisam saber quem são os hosts do seu domínio.

filipe.nanclarez

@marcelloc:

filipe.nanclarez,

Marque o dns do firewall com o ip do ad, o samba/kerberos precisam saber quem são os hosts do seu domínio.

sim sim, eu já tinha feito, inclusive testei na tela "diagnostics>ping" com o nome e como ip pra saber se estava ok …

alterei algumas coisas nos arquivos que acredito que estavam erradas (eu não interpretei direito) agora está dando "Password incorrect" tem alguma coisa a ver com ser 2008 server ? Nesse site, diz que precisa ser outra config pra o 2008 server ....

http://wiki.squid-cache.org/ConfigExamples/Authenticate/WindowsActiveDirectory

marcelloc

Você pode seguir o tutorial ntlm mais atual do site do squid sem problemas. Toma cuidado só com a questão da localização das pastas.

filipe.nanclarez

@marcelloc:

Você pode seguir o tutorial ntlm mais atual do site do squid sem problemas. Toma cuidado só com a questão da localização das pastas.

então, usei ele só para verificar como deveria fazer as substituições dos valores, mas estou seguindo o seu pra não bagunçar aqui.

estou recebendo o primeiro erro novamente (depois de arrumar o dns, e acertar o ntp):

kinit: krb5_get_init_creds: unable to reach any KDC in realm virtual.local

no join, retorna:

Failed to join domain: failed to connect to AD: Operations error

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

filipe.nanclarez

pessoal, alguma luz ?

marcelloc, quando voce conseguiu foi no windows 2003 ?

filipe.nanclarez

Toda vez que arrumo o dns, ele dá outro erro, dá password incorrect.

Já mudei a senha, mas continua dando isso.

Há algum log onde eu possa identificar o que está acontecendo ?

marcelloc

@filipe.nanclarez:

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

da uma olhada nos logs do samba /var/log/samba/

olha tambem nos logs no windows para ver se aparece alguma coisa

@filipe.nanclarez:

marcelloc, quando voce conseguiu foi no windows 2003 ?

Sim, foi no 2003

filipe.nanclarez

@marcelloc:

@filipe.nanclarez:

tentei olhar nos não estou achando os arquivos dos logs pra verificar … ???

da uma olhada nos logs do samba /var/log/samba/

a pasta esta vazia …

filipe.nanclarez

marcelloc, tem um arquivo que eu não estou vendo

é o /var/kerberos/krb5kdc/kadm5.keytab

eu mudei a pasta de acordo com o caminho para

/var/heimdal/kadm5.keytab

ele não está gerando … algo a mais que preciso fazer ?

marcelloc

O keytab é gerado no ad. ainda não vi nenhum port do mskutil para o freebsd.

filipe.nanclarez

marcelloc, vou instalar um 2003 para podermos isolar as variaveis

em qual versão do pf voce fez ? e a versão do squid ?

dougf4nnie

Senhores Boa Noite!

Primeiramente obrigado marcelloc pelo caminho das pedras :).

Durante o dia realizei alguns testes seguindo a orientação do macelloc e consegui uns tropeços e acertos, agora vim informar que obtive êxito na configuração com autenticação transparente sem o pop-up.

Cenário:

Controlador de dominio usado para autenticar: Windows Server 2008 R2.
Clientes testados: Windows XP e 7
Versão do squid utilizado: Squid Cache: Version 2.7.STABLE9

Problemas encontrados:

Ao reiniciar o servidor pfsense e tentar navegar novamente… a janela de autenticação era apresentada... logo fui ver se o serviço do samba (winbindd) estava e iniciado, mas o mesmo estava parado.

Tentei iniciar e o serviço não subia:

[2.0.1-RELEASE][root@trinity.domain.local]/: /usr/local/etc/rc.d/samba onestart
Removing stale Samba tdb files: . done
Starting winbindd.
[2.0.1-RELEASE][root@trinity.domain.local]/: /usr/local/etc/rc.d/samba onestatus
winbindd is not running.

Fui ver o log do samba e encontro:

lib/pidfile.c:130(pidfile_create ERROR: can't open /var/run/samba/winbindd.pid: Error was No such file or directory

Ou seja… quando o pfsense reiniciou o diretorio /var/run/samba tinha sumido!... só foi cria-lo novamente na mão e o serviço voltou a funcionar juntamente com à autenticação transparente.

Agora vem as dúvidas:

Como fazer para que o serviço seja iniciado automaticamente? (criei e editei o arquivo /etc/rc.conf mas ele some depois que inicia o servidor).
Depois que o servidor inicia é necessário utilizar novamente o comando kinit?
Quando instalei o samba ele gerou um erro informando que havia um conflito de pacote que existia, porém se eu removesse ele implicava dizendo que o squid depende dele... o que fiz foi forçar a instalação e ele pulou essa etapa.

filipe.nanclarez

Peraí pessoal, não é possível. Todo mundo tá fazendo isso dar certo.

Estou a três dias nisso. Não é possível que eu sou tão leigo assim.

doug, como voce fez isso funcionar. Segui o tutorial, e ainda não achei a parte onde precisa instalar o winbind. Na realidade, tentei dar um start no serviço do samba e não rolou, sem falar nos logs que até agora não aparecem.

Fiz passo a passo, e quando tento usar o kinit, ele dá password invalid ….

Já fiz, e refiz, e formatei várias vezes.

Tem algo que eu não sei ? algum comando que está sendo dado, por se muito óbvio e eu não estou fazendo ?

Por gentileza, meu ambiente é o mesmo que o seu, me ajude a fazer funcionar, pelo menos uma vez ...

marcelloc

@filipe.nanclarez:

marcelloc, vou instalar um 2003 para podermos isolar as variaveis

Em qual versão do pf voce fez ? e a versão do squid ?

pfsense 2.0.1 64 bits
squid 2.x da instalação dos pacotes

marcelloc

@dougf4nnie:

Como fazer para que o serviço seja iniciado automaticamente? (criei e editei o arquivo /etc/rc.conf mas ele some depois que inicia o servidor).

Edite o arquivo /usr/local/etc/rc.d/samba e mude tudo o que estiver com NO para YES

@dougf4nnie:

Depois que o servidor inicia é necessário utilizar novamente o comando kinit?

Acredito que não. Já vi minha chave vencer e o serviço continuou no ar. Porém é melhor testar

@dougf4nnie:

Quando instalei o samba ele gerou um erro informando que havia um conflito de pacote que existia, porém se eu removesse ele implicava dizendo que o squid depende dele… o que fiz foi forçar a instalação e ele pulou essa etapa.

pkg_add -r é utilizado com uma certa freqüência nas instalações de pacotes no pfsense.

Parabéns pelo setup. ;)