Dotaz: SAMBA PDC + NTLM +DOMAIN MEMBER

[kajinek]

Dobry den, mam nainstalovano PDC samba 3.4 ktera je napojena na LDAP a vsechno je funkcni. Tedka jsem si na druhej server nainstaloval SQUID a SAMBU ktera funguje jako DOMAIN MEMBER.Squid je nastaven na NTLM auth.wbinfo -u -a -t -g jsou funkcni.Server je pridan do domeny pomoci RPC JOIN.Ale kdyz se prihlasim do domeny ktera je na PDC tak to Squid vubec nedetekuje.Nevite nekdo jak to propojit ?

Dekuji

---

---

Odpovědi

[kajinek]

Dobry den, myslite ze musi bejt zapnuty Winbind i na PDC ?

[timeos]

urcite nemusi

[timeos]

Ale kdyz se prihlasim do domeny ktera je na PDC tak to Squid vubec nedetekuje.

co myslite tou detekciou?

[timeos]

tak NTLM uz funguje mel jsem spatne nastavena prava na adresar winbindd_privileged. Automatickou detekci myslim ze kdyz pustim prohlizec IE tak to automaticky najde a nastavi proxy server.Overeni probiha pomoci NTLM pri prihlaseni do domeny.

Dekuji

[timeos]

Pri tom adresari ale bacha, staci ak restartnete winbind sluzbu alebo proste rebootnete stroj, a opravnenia tej zlozke sa vratia spat do povodneho tvaru.

[kajinek]

Jeste bych se zeptal kdyz to ntlm tak pekne funguje ...daji se definovat skupiny ktere nebudou moct na internet?

[timeos]

Ano, dodatocnym parametrom pre ntlm_auth v squid.conf: "--require-membership-of="DOMAIN+Proxy Users"

[kajinek]

Dekuji tak ze jsem udelal radek takto ""auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of=TEST\Domain Users"" TEST je domena a Domain Users je skupina uzivatelu. Ale tedka to zase prestalo fungovat i kdyz je muj uzivatel ve skupine ""Domain users"". Jde to nejak otestovat rucne v debug modu to nic nepise :(.

[timeos]

Musite pouzit spravny domain separator. V mojom pripade je separator "+", vy ste ho uviedli ako "\" (myslim ze toto je aj default hodnota "winbind separator" - smb.conf). V prvom rade si to odskusajte cez CLI: /usr/bin/ntlm_auth --username=XXX --require-membership-of="TEST\Domain Users" ci vas to vobec autentifikuje takto alebo nie.

Druhou moznostou je vyhnut sa pouzitia mena skupiny tym, ze miesto mena uvediete SambaSID danej skupiny.

[kajinek]

Jj toto funguje /usr/bin/ntlm_auth --username=kajik --require-membership-of="TEST\Domain Users" NT_STATUS_OK: Success (0x0) ale kdyz to je zapsane ve squidu tak nic :( Jeste testnu ten SambaSid misto skupiny. Jinak dekuju moc

[kajinek]

tak ani ten SAMBASID nepomohl :(

[timeos]

pastnite sem obe varianty ntlm_auth riadku zo squid.conf. dajte ich do code tagu.

[kajinek]

Tady je prvni radek auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of="TEST\Domain Admins"

Tady je druhej radek #auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of="TEST\S-1-5-21-1167807432-2338222830-1887501724-512"

[timeos]

v tom druhom mate chybu - ked uvadzate SambaSID, tak meno domeny sa uz nepouziva, vo vasom pripade by to malo teda vyzerat takto: auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of=S-1-5-21-1167807432-2338222830-1887501724-512

[kajinek]

Super dekuju tedka to jede kdyz jsem zadal ten SID ...Nevite proc to nezna ten nazev Domain Users?

[timeos]

Dajte si "wbinfo -g" a porovnajte nazov skupiny "Domain Users" z tohto vystupu k tomu, co ste zadavali do "--require-membership-of=". Je mozne ze tam najdete nejaky rozdiel.

Druhou vecou (ak by tato prva hypoteza nebola spravna) je moznost, ze zlyhava preklad "sid-to-name" - wbinfo ma na to prepinace aby ste tento preklad overil. Ked totiz zadavate priamo SambaSID, tak winbind ma o robotu menej - nemusi riesit tento resolving.

[timeos]

...oprava... samozrejme som myslel "name-to-sid", nie "sid-to-name".

[timeos]

alebo vyskusajte rovno toto: wbinfo --sid-to-name=S-1-5-21-1167807432-2338222830-1887501724-512

..ci sa nazov skupiny z vystupu zhoduje s tym, co zadavate ako parameter pre ntlm_auth.

[kajinek]

jj tak problem jsem mel ve jmenu skupiny velka a mala pismena.