Squid代理的用户认证(基本认证、集成Windows域认证)

Squid代理的用户认证(基本认证、集成Windows域认证)
 
2012-07-02  TsengYia#126.com
 
    关于Squid代理服务的用户验证,本文简要介绍了两种方法的实现:basic基本认证、ntlm域认证。
    basic认证采用账户数据文件的方式,能够对代理访问做简单的登录验证,从而实现用户控制。而ntlm认证依赖于已有的Windows域环境,Squid服务器本身需要加入域,而客户机只要以域用户登录,即自动通过代理验证,从而省去了域环境中客户机的反复验证过程,提高了代理访问的易用性。
 
##############################################################################  
 
系统环境:  
    Squid代理服务器(RHEL 6.2)——
        主机名:proxy.example.com
        IP地址:192.168.4.6/24
        主要软件包:squid-3.1.10-1.el6_1.1.i686、samba-winbind-3.5.10-114.el6.i686、samba-common-3.5.10-114.el6.i686
 
    域控制器(Win2008 R2)——
        主机名:w2k8.example.com
        IP地址:192.168.4.2/24
        主要软件包:Active Directory域服务
 
    测试用Web服务器(RHEL 5.5)——
        主机名:www.example.com
        IP地址:192.168.4.105/24
        主要软件包:httpd-2.2.3-43.el5
 
    测试用客户机(WinXP或Win7)——
        主机名:station110.example.com
        IP地址:192.168.4.110/24
        主要软件包:Internet Explorer 8.0
 
##############################################################################  
 
一、方式1:使用基本认证
 
1. 准备账户数据文件
    使用httpd提供的htpasswd工具,-c表示建库,首次添加用户时使用,省略-c时可用来改密码
[root@localhost ~]# htpasswd -c /etc/squid/passwd tsengyia
New password:
Re-type new password:
Adding password for user tsengyia
 
2. 调整squid.conf配置文件
[root@localhost ~]# vim /etc/squid/squid.conf   //参考 man cgconfig.conf
... ...
http_port 3128
hierarchy_stoplist cgi-bin ?
cache_dir ufs /var/spool/squid 200 16 256
cache_mem 128 MB
coredump_dir /var/spool/squid
visible_hostname proxy.example.com
####
auth_param basic program /usr/lib64/squid/ncsa_auth /etc/squid/passwd
auth_param basic children 10      # 基本认证程序的子进程数
auth_param basic credentialsttl 2 hours    # 每次认证的TTL值
auth_param basic realm Squid Cache Server  # 认证领域字串,登录窗口中会显示
acl auth_user proxy_auth REQUIRED     # 将通过代理认证的用户定义为一个ACL
http_access allow auth_user      # 允许此ACL使用代理服务
acl all src 0.0.0.0/0.0.0.0
http_access deny all       # 默认策略设为拒绝
####
[root@localhost ~]# service squid restart
 
3. 在客户机中测试代理访问
    为IE浏览器配置代理,并访问测试用Web服务器,将会弹出认证登录框。
    必须验证成功(使用/etc/squid/passwd中的账户)方可正常访问网页,否则将提示被拒绝。
 
 
二、方式2:与Windows域集成认证
 
1. 将Squid服务器加入Windows域
    详见另篇《将Linux主机加入Windows域》:
 
2. 调整squid.conf配置文件
[root@localhost ~]# vim /etc/squid/squid.conf   //参考 man cgconfig.conf
... ...
####
auth_param ntlm program /usr/bin/ntlm_auth  --helper-protocol=squid-2.5-ntlmssp   //指定ntlm认证程序、使用的协议
auth_param ntlm children 10      //ntlm认证程序的子进程数
auth_param basic program /usr/bin/ntlm_auth  --helper-protocol=squid-2.5-basic   //替换基本认证程序
auth_param basic children 10      //基本认证程序的子进程数
auth_param basic credentialsttl 2 hours    //每次认证的TTL值
auth_param basic realm Squid Cache Server    //认证领域字串,登录窗口中会显示
acl DomainUsers proxy_auth REQUIRED     //将通过ntlm域认证的用户定义为一个ACL
http_access allow DomainUsers      //允许此ACL使用代理服务
acl all src 0.0.0.0/0.0.0.0
http_access deny all       //默认策略设为拒绝
####
[root@localhost ~]# service squid restart
 
3. 调整winbind服务的Socket目录权限
1)查看原有权限
    默认情况下,Squid服务对winbindd_privileged目录不具有访问权限:
[root@localhost ~]# ls -ld /var/lib/samba/winbindd_privileged/
drwxr-x---   2 root wbpriv 4096 7月  3  11:18  /var/lib/samba/winbindd_privileged/
    这可能会导致代理验证失败,日志消息类似如下:
[root@localhost ~]# tail /var/log/messages
... ...
Jul 2 11:35:27 proxy (ntlm_auth):  Login for user [example]\[tsengyia]@station110] failed due to [winbind client not authorized to use winbindd_pam_auth_crap. Ensure
permissions on /var/lib/samba/winbindd_privileged are set correctly.]
Jul 2 11:35:27 proxy (ntlm_auth):  [2012/07/02  11:35:27.365870, 0] utils/ntlm_auth.c:896(manage_squid_ntlmssp_request_int)
Jul 2 11:35:27 proxy (ntlm_auth):  NTLMSSP BH: NT_STATUS_ACCESS_DENIED
 
2)添加新的权限,允许squid程序访问
    建议不要使用chown、chmod来修改目录的基本属性和权限,否则可能导致winbind服务无法启动。
    这里采用setfacl工具来为squid服务程序的运行用户(squid)添加访问权限。
[root@localhost ~]# setfacl -m user:squid:r-x /var/lib/samba/winbindd_privileged/
[root@localhost ~]# service squid reload
 
4. 在客户机中测试代理访问
    为IE浏览器配置代理,并进行访问测试。
1)以域用户登录时
    若访问测试用Web站点(192.168.4.105),无需再次验证(已经通过域认证);
    在测试用Web服务器上,可以看到来自Squid代理服务器的访问记录。
2)未以域用户登录时
    若访问测试用Web站点(192.168.4.105),浏览器会弹出登录框,必须以域用户验证后才能访问;
    在测试用Web服务器上,同样可以看到来自Squid代理服务器的访问记录。
 
##############################################################################
评论 1
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值