Proxy com autenticação em servidores Samba ou Windows NT

Estival

Neste artigo vamos mostrar como preparar um servidor proxy (Squid) para fazer autenticação para acesso à internet usando SMB e mostrar também como fazer o controle de acesso (ACLs) utilizando estes usuários autenticados.

[ Hits: 181.300 ]

Por: Marcos Estival em 12/12/2003

0 0

Denuncie Favoritos Indicar Impressora

Configurando o servidor proxy Squid

As linhas que executam a autenticação e fazem o servidor proxy autenticar utilizando um programa externo estão descritas abaixo, o restante do arquivo de configuração do Squid pode ser alterado conforme a sua necessidade, se você é iniciante aconselhamos a ler os artigos de configuração do Squid aqui do site:

É necessário, antes de configurar o Squid, ter certeza que a autenticação esteja funcionando perfeitamente. Será necessário para esta solução que o servidor Linux com proxy esteja com o pacote samba-client instalado, pois o mesmo se utilizará das bibliotecas deste pacote para fazer a autenticação no servidor Samba ou Windows NT.

O nome do pacote na distribuição RedHat é samba-client e pode ser encontrado no CD de instalação do Linux. Instale-o usando o utilitário RPM.

Para testar a autenticação digite:

# /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR -d

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

A opção "-d" vai fazer um debug da conexão e mostrar os resultados na tela. Ao digitar o comando e dar "ENTER", o mesmo aguarda a digitação do usuário e senha na mesma linha, exemplo:

# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
Domain name: EXEMPLO
Pass-through authentication: no
Query address options:
Domain controller IP address: 10.62.1.1
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth: allow
OK

Se o resultado for OK, então o seu servidor Linux proxy já pode fazer a autenticação no servidor Samba ou Windows NT.

Usando a autenticação no SQUID 2.4 ou anterior

OBS: Este recurso só esta disponível a partir da versão 2.0 do Squid.

A linha de autenticação no Squid 2.4 é a seguinte:

authenticate_program /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

IMPORTANTE: não coloque a opção de "-d" no squid.conf. Este parâmetro só deverá ser utilizado em linha de comando para DEBUG de problemas na conexão.

Usando a autenticação no Squid 2.5

A linha de autenticação no SQUID 2.5 é a seguinte:

auth_param basic program /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

Temos também mais alguns parâmetros desta autenticação que são necessários:

auth_param basic realm # texto que vai aparecer na janela de autenticação
auth_param basic children 5
auth_param basic credentialsttl 1 minute

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. Configurando o servidor Windows ou Samba
   3. Configurando o servidor proxy Squid
   4. Controle de acesso ACL
   5. Relatórios de acesso
   6. Configurando as estações Windows

Outros artigos deste autor

Ferramentas de administração remota

Leitura recomendada

Integrando autenticação do Squid ao Active Directory

Squid + HTB Tools - Cache indo a FULL!

Servidor Squid - Autenticação e níveis de privilégio

Configurando Squid para liberação de messenger em horário específico, dentre outros

Manual traduzido do Squid

Comentários

[1] Comentário enviado por fabio em 12/12/2003 - 00:31h

Muito bom seu artigo Estival! Agora me tire uma dúvida, a autenticação do proxy num servidor Windows necessariamente precisa ser num NT ou pode ser realizada através de um Win2k também?

0 0

[2] Comentário enviado por thiagosc em 12/12/2003 - 09:36h

Muito bom este artigo consegui configurar o squid pelo kurumin, está funcionando legal, vou testar agora em conectiva, uma observação neste artigo a poorta padrão do squid não é a 3180? uma abraço

0 0

[3] Comentário enviado por gustavo_marcon em 15/12/2003 - 11:26h

Cara, muito bom este artigo mas ao invéz de usar o samba eu gostaria que meu servidor fosse pppoe... Como eu faria p/ que os usuários fizessem uma autenticação pppoe no servidor linux e o squid comanda-se as regras de ACL corretamente???

O que eu teria que alterar?

0 0

[4] Comentário enviado por gustavo_marcon em 17/12/2003 - 17:21h

Pessoal configurei o squid p/ funcionar c/ autenticação ncsa_auth. Fiz tudo como manda o tutorial da conectiva... A autenticação funciona perfeitamente em 2 micros da rede mas no terceiro micro ele só volta a pedir senha novamente se for feito logoff.. deveria pedir cada vez que abrir o browser, como acontece nos outros micros. Alguem sabe como configurar um timeout pro squid?

0 0

[5] Comentário enviado por cbgrando em 13/01/2004 - 16:37h

Distro: Red Hat 9
Samba: 3.0
Estou tendo o seguinte problema,
Quando coloco "/usr/local/bin/smb_auth -W MEUDOMINIO -U xxx.xxx.xxx.xxx -d" e entro com user e senha da "ERR". O usuario tem permissão para leitura da pasta e dos arquivos da netlogon. Mas mesmo assim dá erro. Tem como depurar melhor o erro´. Só o "-d" nao adianta... nao consigo nada substancial pra depurar.
Obrigado.

0 0

[6] Comentário enviado por fabio em 14/01/2004 - 18:44h

Estival mandou para mim ao invés de para cá, lá vai:
---
vc instalou o smb-client, o mesmo é necessário na maquina.
outra coisa vc tem que usar o smb_auth que vem no SQUID
"/usr/lib/squid/smb_auth"

Espero ter ajudado.
---

0 0

[7] Comentário enviado por altairneto em 20/02/2004 - 14:20h

Excelente matéria, o squid é muito bom, mas eu tenho problemas com usuários "expertos" que simplesmete desabilitam a opção do proxy nas propriedades do Internet Explorer, fazendo assim que não se autentiquem no squid e com isso acessando as páginas livremente, sem passar pela política adotada no Squid. Pergunta: tem alguma maneira de bloquear isso? tipo restrigindo o acesso a essas configurações? sei que no Win2K é possível, mas nas estações 98 não achei nada....se alguém tiver uma solução me mande um e-mail: neto@benarros.com.br Abraços a todos

0 0

[8] Comentário enviado por string em 06/03/2004 - 15:09h

Caro altair, vai ai uma solucao pros espertinhos do win98, insira no logon.bat dos usuarios o seguinte:

regedit /s \\servidor\netlogon\protege.reg

no qual vai ter no arquivo protege.reg o seguinte.
REGEDIT4
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]
"Proxy"=dword:00000001

Este desabilitara a opcao de mexer na configuracao do proxy no propriedades do IE.

valeu.
Geomar

0 0

[9] Comentário enviado por alphainfo em 03/05/2004 - 11:58h

Aê Geomar, esse script teu é bem legal...
valew

0 0

[10] Comentário enviado por ofmaciel em 17/05/2004 - 15:00h

Excelentes artigos. Gostaria de uma dica: se é possível, como fazer com que somente alguns usuários( ou alguns IPS, ou alguns endereços MAC) sejam obrigados à autenticação para acesso à internet, via squid, enquanto todos os demais sejam livres ( sem logon).

Grato, ofmaciel

0 0

[11] Comentário enviado por gamaj em 30/05/2004 - 13:33h

Pessoal,

Também estou com o memso problema do amigo cbgrando.

Também optei pela autenticação via Samba, no Servido tenho Inatalado o pacote do Samba 3.0.2 do Slack 9.1 será que neste pacote já não esta incluso o samba-client.

quando tento o comando
#/usr/lib/squid/smb-auth -W LINUX -U 192.168.0.1 -d
valdir Tempra22
Domain name: LINUX
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
/usr/local/smb_auth-0.05//smb_auth.sh: line 1: /etc/samba/bin/nmblookup: No such file or directory
Domain controller IP address:
ERR

Como posso resolver isso?

Conto com a colaboração do amigos:

0 0

[12] Comentário enviado por scoscis em 13/09/2004 - 11:21h

eu uso o slackware e estava acontecendo isso com o meu tb...
faz assim...
primeiro procura onde esta o nmblookup..

find / -iname nmblookup

> no meu caso era /usr/local/bin/nmblookup

ai eh soh editar o arquivo smb_auth.sh, todo o lugar onde estiver '/blabla/blabla/nmblookup' voce troca para o lugar que voce encotrou com o find..

IMPORTANTE

soh mude o que esta dentro das ' '
ficaria assim ' /usr/local/bin/nmlookup' ...

valeu

Thiago Debia
th.debia@ig.com.br

0 0

[13] Comentário enviado por alehm em 30/09/2004 - 10:36h

Ola Pessoal,
meu nome eh Alexandre havia configurado meu squid + smb_auth em um slackware e estava funcionando na boa, mas depois que fiz um upgrade de pacotes, parou de funcionar, qdo faco:
# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
fica parado e nao da nenhuma informacao.

alguem poderia me dar uma dica do que pode estar acontecendo?

agradeco a colaboracao de todos

Alexandre

0 0

[14] Comentário enviado por alehm em 30/09/2004 - 10:37h

Ola Pessoal,
meu nome eh Alexandre havia configurado meu squid + smb_auth em um slackware e estava funcionando na boa, mas depois que fiz um upgrade de pacotes, parou de funcionar, qdo faco:
# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
fica parado e nao dah nenhuma mensagem.

alguem poderia me dar uma dica do que pode estar acontecendo?

agradeco a colaboracao de todos

Alexandre

0 0

[15] Comentário enviado por germano_silva em 26/02/2005 - 23:49h

Caro Alexandre;

Deu uma olhada no man pq devido a troca de versoes as vezes pode ocorrer de certos comandos serem trocados

Abraços

Germano Silva

0 0

[16] Comentário enviado por mazzaropi em 19/05/2005 - 10:15h

Funcionou na Slackware, mas tenho uma dúvida. Seria possível eu liberar apenas alguns sites para determinado usuário ou grupo de usuário, proibindo-o de ver o resto?
Obrigado.

0 0

[17] Comentário enviado por lucasfs em 23/11/2005 - 11:11h

Estou com o mesmo problema, olhem o resultado:

/usr/lib/squid/smb_auth -W type -U 192.168.200.1 -d
user suporte
Domain name: type
Pass-through authentication: no
Query address options: -U 192.168.200.1 -R
Domain controller IP address: 192.168.200.1
Domain controller NETBIOS name: SERVIDOR
Contents of //SERVIDOR/NETLOGON/proxyauth:
ERR

O arquivo proxyauth está criado e dentro dele contém "allow" apenas

0 0

[18] Comentário enviado por jasonn em 15/12/2005 - 17:11h

é facil de resolver isso cara, faça isso aqui:
entre no arquivo:
vim /usr/lib/squid/smb_auth.sh

e coloque essa chave da forma que esta aqui:

export SAMBAPREFIX=/usr
read DOMAINNAME
read PASSTHROUGH
read NMBADDR
read NMBCAST
read AUTHSHARE
read AUTHFILE
read SMBUSER
read SMBPASS

Depois que fizer isso, dê o comando export

pronto teste:

/usr/lib/squid/smb_auth -W type -U 192.168.200.1 -d
maria 123456

claro que maria e a senha 123456 é uma ilusoria.
esta resolvido seu problema.
Abraços do amigo jasonnfedora.
Comunidade Fedora Brasil

Aqui esta a minha configuracao:

[root@fedorabrasil netlogon]# /usr/lib/squid/smb_auth -W fbrasil -U 192.168.1.1 -d
jasonnfedora toaquitola
Domain name: fbrasil
Pass-through authentication: no
Query address options: -U 192.168.1.1 -R
Domain controller IP address: 192.168.1.1
Domain controller NETBIOS name: SMB_FBRASIL
Contents of //SMB_FBRASIL/NETLOGON/proxyauth: allow
OK

0 0

[19] Comentário enviado por obochecha em 04/01/2006 - 11:07h

Tava tão bom, tudo dando certo, o dominio ta dando como ok sem erros nenhum usando o smb_auth, sendo que quando vou autenticar
ele nao aceita
fica na mesma tela de ligoin.
e depois de umas 5 tentativas da como acesso negado
o usuario ta cadastrado e a senha esta correta.
pq isso tá acontecendo?

0 0

[20] Comentário enviado por jgama em 08/02/2006 - 02:25h

Olá pessoal, depois de muito tempo voltei a fazer o teste da autenticação via samba, e desta vez deu tudo certo, o problema anterior era permissão.

batou eu dar permissão no arquivo exemplo:

#chmod 755 /home/samba/netlogn/proxyauth

agora o teste deu certo

[root@servidor laide]# /usr/lib/squid/smb_auth -W LINUXGAMA -U 192.168.0.1 -d
julia Palio145
Domain name: LINUXGAMA
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
Domain controller IP address: 192.168.0.1
Domain controller NETBIOS name: SERVIDOR
Contents of //SERVIDOR/NETLOGON/proxyauth: allow
OK

Abraço a todos

0 0

[21] Comentário enviado por cleitão em 01/03/2006 - 15:38h

Legal pra caramba este artigo só gostaria de saber se alguém já teve sucesso implementando ele em uma distro baseada no Debian........

Valeu galera!!!!!!!!1

0 0

[22] Comentário enviado por amendes em 21/03/2006 - 16:41h

Olá pessoal,

Fiz todas as configurações, conforme indicado, criei o arquivo proxyauth, dei permissão, via linha de comando funciona normalmente, mas quando faço via Internet Explorer ele não autentica, a tela de usuário e senha sempre volta.

Alguma dica?

0 0

[23] Comentário enviado por Estival em 22/03/2006 - 11:28h

Gente algumas Ditribuições podem ter problemas utilizando o smb_auth da internet: http://www.hacom.nl/~richard/software/smb_auth.html, muito antigo (1999).

se a versão que vem com a distribuição for mais nova utilizem-na.
se for compilar observe bem as variaveis SAMBAPREFIX e INSTALLBIN

e como o jgama falou nao esqueça das permissões:

#chmod 755 /home/samba/netlogn/proxyauth

Até Mais...

Marcos Estival

0 0

[24] Comentário enviado por amendes em 29/03/2006 - 08:11h

Pessoal, percebi problemas na distribuição do Fedora 3, ela não identifica a opção ident quando é criada uma ACL e também o smb_auth não funciona.
Ao instalar o RedHat 9 e baixar o smb_auth da internet funcionou normalmente.

Valeu Estival

0 0

[25] Comentário enviado por jssandim em 13/09/2006 - 17:30h

Pessoal,
Estou com um problema no meu smb_auth. Ele funcina ok, faço o teste de autenticação de usuario (smb_auth -W LAB.FUMEC.BR) dá ok. Mas quando usuario loga no Domain controler (Samba) e depois vai colocar sua senha no Internet explorer para autenticar no squid, não é aceito. Ai se o usuario logar primeiro no ie sem passar pela autenticação dominio samba, funciona. Outras duas observações:
-O usuário logado no dominio primeiro, ele é removido e adcionado novamente(userdel fulano ,useradd fulano), funciona a autenticação no internet explorer com usuario ainda logado no dominio.
-O usuario que é administrador loga no dominio e depois no ie e não acontece o erro.
Aguardo uma resposta.
Obrigado.

0 0

[26] Comentário enviado por valberaguiar em 24/10/2006 - 18:19h

gerando relatório por usuário autenticado com SARG

0 0

[27] Comentário enviado por valberaguiar em 24/10/2006 - 18:20h

Qual a configuração para gerar relatório por usuário autenticado com SARG?

0 0

[28] Comentário enviado por hdfogo em 07/11/2006 - 16:40h

Estou tambem com problema para fazer autenticação e já fiz tudo o que foi sugerido aqui sera que alguem pode me ajudar este é o erro

root@fwsvr:~# /usr/libexec/smb_auth -W DOMINIO -U 192.168.0.1 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
Domain controller IP address: 192.168.0.1
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth:
ERR

o arquivo proxyauth foi criado na pasta de compartilhamento netlogon e com allow e esta com permissão para todos não sei mais o que fazer

Aguadro uma resposta

Muito obrigado

0 0

[29] Comentário enviado por super7 em 14/05/2007 - 20:40h

.

0 0

[30] Comentário enviado por super7 em 14/05/2007 - 20:44h

Ola Pessoal, por favor me SOCORRAM!! Estou com o debian etch, o problema é q ja fiz de tudo. A maquina Squid ja esta incluida no Dominio Linux, o arquivo proxyauth ja esta com as permissoes 755, o compartilhamento "netlogon" esta funcionando certinho, testei manualmente pelo smbclient e funcionou, mas qdo rodo o /usr/lib/squid/smb_auth -W DOMINIO -U IP-DOSERVER -d só aparece a mensagem ERR nada mais. Acho q é algum problema no smb_auth.sh, q tb ja mexi em tudo , e nem sei mais aonde mexer. Por favor me ajudem, deve ser algum caminho q mudou no etch. Um abraço e desde ja muito obrigado e parabens por esse Artigo Estival.

0 0

[31] Comentário enviado por angkor em 13/06/2007 - 14:22h

Ola pessoal, estou com alguns problemas obviamente por não ter o samba (ou algum módulo) instalado. A pergunta é:
O que é que tenho que instalar no meu proxy para esse esquema de altenticação funcionar?
Se for o samba, qual a opção devo habilitar?

Atenciosamente,
Angkor

0 0

[32] Comentário enviado por Estival em 21/06/2007 - 09:10h

Ola Angkor, vc precisa do samba-client para que funcione, use o debug para verificar se tem conexão:
/usr/lib/squid/smb_auth -W DOMINIO -U IP-DOSERVER -d

0 0

[33] Comentário enviado por celsomagela12 em 30/06/2007 - 11:44h

Olá gente!
sou novato por aqui e preciso de ajuda:
resolvi trocar o servidor de internet, instalei o CentOS.
o IP do servidor de internet é 192.168.0.66
o IP do servidor samba é 192.168.0.67
Minha máquina 66 conecta na internet Ok, mas não consigo rodar a autenticação no samba.
mudei recentemente o IP do Servidor Samba de 118 para 67, quando eu testo a autenticação, fica assim:

root@CentOs:# /usr/local/bin/smb_auth -W DOMINIO -U 192.168.0.67 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 192.168.0.68 -R
Domain controller IP address: 192.168.0.118 (aqui aparece errado)
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth:
ERR

preciso alterar o IP no "Domain controller IP address:" e não sei onde.
o arquivo proxyauth está no diretrório /home/netlogon do samba

0 0

[34] Comentário enviado por phmonteiro_df em 08/08/2007 - 12:49h

Estival...todas as opções dão certo...o squid starta ok...a autenticação no diretório samba...mas na hora de abrir o I E ele não pede senha....o que pode ser ?

0 0

[35] Comentário enviado por celsomagela12 em 08/08/2007 - 14:31h

O IE está com a opção "usar servidor proxy" marcada???

0 0

[36] Comentário enviado por adalmar em 05/10/2007 - 12:50h

Eu vi seu artigo mais não tenho servidor de autenticação, eu uso o linux red hat 9, essa regra:
auth_param basic program /usr/bin/ncsa_auth /etc/squid/squid_passwd
acl password proxy_auth REQUIRED
http_access allow password

depois executei #htpasswd -c /etc/squid/squid_passwd adalmar
criei a senha e tudo
quando vou acessar a internet abre a tela de autenticação mais não reconhece o usuário, existe algun procedimento errado?

0 0

[37] Comentário enviado por Estival em 08/10/2007 - 14:34h

verifique o caminho do ncsa_auth... no meu esta noutra pasta "/usr/lib/squid"

0 0

[38] Comentário enviado por tiagomello em 29/11/2007 - 14:18h

o amigo ali em cima reclamou sobre usuarios espertos que desabilitam o proxy e passam por fora, acessando tudo que quiser, uma solução foi dada(desabilitar as opções firewall) mas em qualquer canto da internet podemos encontrar dicas de como reverter isso. A dica que eu vou dar é de se bloquear via firewall a porta 80 para saida, e somente sairia via porta 3128 do squid. aih amigo, nao tem jeito, pra burlar isso só com a senha do root do servidor com o squid

0 0

[39] Comentário enviado por manguetiz em 11/12/2007 - 11:25h

Gostei do seu artigo, porém, estou com problema... faço o teste por linha de comando para autenticação no AD da minha rede e retorna as informações abaixo:

Domain name: MEU_DOMINIO
Pass-through authentication: no
Query address options: -U XXX.XXX.XXX.XXX -R
Domain controller IP address:
ERR

Já criei o arquivo "proxyauth" dento da pasta NETLOGON no servidor com apenas a linha "allow" (sem as aspas, logico), dei permissão de leitura a principio para todos para poder realizar os testes.
O que pode estar acontecendo ???
Desde já agradeço e aguardo ajuda.

0 0

[40] Comentário enviado por Estival em 12/12/2007 - 14:20h

Tente colocar o -d de DEBUG :

/usr/lib/squid/smb_auth -W DOMINIO -U 1.1.1.1 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 1.1.1.1 -R
Domain controller IP address: 1.1.1.1
Domain controller NETBIOS name: SMBSERVER
Contents of //SMBSERVER/NETLOGON/proxyauth: allow
OK

0 0