Proxy com autenticação em servidores Samba ou Windows NT

Estival

Neste artigo vamos mostrar como preparar um servidor proxy (Squid) para fazer autenticação para acesso à internet usando SMB e mostrar também como fazer o controle de acesso (ACLs) utilizando estes usuários autenticados.

[ Hits: 181.201 ]

Por: Marcos Estival em 12/12/2003

0 0

Denuncie Favoritos Indicar Impressora

Configurando o servidor proxy Squid

As linhas que executam a autenticação e fazem o servidor proxy autenticar utilizando um programa externo estão descritas abaixo, o restante do arquivo de configuração do Squid pode ser alterado conforme a sua necessidade, se você é iniciante aconselhamos a ler os artigos de configuração do Squid aqui do site:

É necessário, antes de configurar o Squid, ter certeza que a autenticação esteja funcionando perfeitamente. Será necessário para esta solução que o servidor Linux com proxy esteja com o pacote samba-client instalado, pois o mesmo se utilizará das bibliotecas deste pacote para fazer a autenticação no servidor Samba ou Windows NT.

O nome do pacote na distribuição RedHat é samba-client e pode ser encontrado no CD de instalação do Linux. Instale-o usando o utilitário RPM.

Para testar a autenticação digite:

# /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR -d

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

A opção "-d" vai fazer um debug da conexão e mostrar os resultados na tela. Ao digitar o comando e dar "ENTER", o mesmo aguarda a digitação do usuário e senha na mesma linha, exemplo:

# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
Domain name: EXEMPLO
Pass-through authentication: no
Query address options:
Domain controller IP address: 10.62.1.1
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth: allow
OK

Se o resultado for OK, então o seu servidor Linux proxy já pode fazer a autenticação no servidor Samba ou Windows NT.

Usando a autenticação no SQUID 2.4 ou anterior

OBS: Este recurso só esta disponível a partir da versão 2.0 do Squid.

A linha de autenticação no Squid 2.4 é a seguinte:

authenticate_program /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

IMPORTANTE: não coloque a opção de "-d" no squid.conf. Este parâmetro só deverá ser utilizado em linha de comando para DEBUG de problemas na conexão.

Usando a autenticação no Squid 2.5

A linha de autenticação no SQUID 2.5 é a seguinte:

auth_param basic program /usr/lib/squid/smb_auth -W DOMÍNIO -U IP-DO-SERVIDOR

Onde:

DOMÍNIO - é o servidor de domínio para autenticação;
IP-DO-SERVIDOR - é o numero IP do servidor de domínio que mantém as contas de usuário.

Temos também mais alguns parâmetros desta autenticação que são necessários:

auth_param basic realm # texto que vai aparecer na janela de autenticação
auth_param basic children 5
auth_param basic credentialsttl 1 minute

Página anterior Próxima página

Páginas do artigo

   1. Introdução
   2. Configurando o servidor Windows ou Samba
   3. Configurando o servidor proxy Squid
   4. Controle de acesso ACL
   5. Relatórios de acesso
   6. Configurando as estações Windows

Outros artigos deste autor

Ferramentas de administração remota

Leitura recomendada

Corrigindo a falha "WARNING! Your cache is running out of filedescriptors" - Squid2.7STABLE9 Slackware 12

SQUID autenticado - Bloqueando o acesso dos usuários por grupos

MySAR - Um ótimo analisador de logs do Squid

Configurando o Squid no Slackware

Squid Plus com AD, redirector, controle de banda e relatórios

Comentários

[1] Comentário enviado por fabio em 12/12/2003 - 00:31h

Muito bom seu artigo Estival! Agora me tire uma dúvida, a autenticação do proxy num servidor Windows necessariamente precisa ser num NT ou pode ser realizada através de um Win2k também?

0 0

[2] Comentário enviado por thiagosc em 12/12/2003 - 09:36h

Muito bom este artigo consegui configurar o squid pelo kurumin, está funcionando legal, vou testar agora em conectiva, uma observação neste artigo a poorta padrão do squid não é a 3180? uma abraço

0 0

[3] Comentário enviado por gustavo_marcon em 15/12/2003 - 11:26h

Cara, muito bom este artigo mas ao invéz de usar o samba eu gostaria que meu servidor fosse pppoe... Como eu faria p/ que os usuários fizessem uma autenticação pppoe no servidor linux e o squid comanda-se as regras de ACL corretamente???

O que eu teria que alterar?

0 0

[4] Comentário enviado por gustavo_marcon em 17/12/2003 - 17:21h

Pessoal configurei o squid p/ funcionar c/ autenticação ncsa_auth. Fiz tudo como manda o tutorial da conectiva... A autenticação funciona perfeitamente em 2 micros da rede mas no terceiro micro ele só volta a pedir senha novamente se for feito logoff.. deveria pedir cada vez que abrir o browser, como acontece nos outros micros. Alguem sabe como configurar um timeout pro squid?

0 0

[5] Comentário enviado por cbgrando em 13/01/2004 - 16:37h

Distro: Red Hat 9
Samba: 3.0
Estou tendo o seguinte problema,
Quando coloco "/usr/local/bin/smb_auth -W MEUDOMINIO -U xxx.xxx.xxx.xxx -d" e entro com user e senha da "ERR". O usuario tem permissão para leitura da pasta e dos arquivos da netlogon. Mas mesmo assim dá erro. Tem como depurar melhor o erro´. Só o "-d" nao adianta... nao consigo nada substancial pra depurar.
Obrigado.

0 0

[6] Comentário enviado por fabio em 14/01/2004 - 18:44h

Estival mandou para mim ao invés de para cá, lá vai:
---
vc instalou o smb-client, o mesmo é necessário na maquina.
outra coisa vc tem que usar o smb_auth que vem no SQUID
"/usr/lib/squid/smb_auth"

Espero ter ajudado.
---

0 0

[7] Comentário enviado por altairneto em 20/02/2004 - 14:20h

Excelente matéria, o squid é muito bom, mas eu tenho problemas com usuários "expertos" que simplesmete desabilitam a opção do proxy nas propriedades do Internet Explorer, fazendo assim que não se autentiquem no squid e com isso acessando as páginas livremente, sem passar pela política adotada no Squid. Pergunta: tem alguma maneira de bloquear isso? tipo restrigindo o acesso a essas configurações? sei que no Win2K é possível, mas nas estações 98 não achei nada....se alguém tiver uma solução me mande um e-mail: neto@benarros.com.br Abraços a todos

0 0

[8] Comentário enviado por string em 06/03/2004 - 15:09h

Caro altair, vai ai uma solucao pros espertinhos do win98, insira no logon.bat dos usuarios o seguinte:

regedit /s \\servidor\netlogon\protege.reg

no qual vai ter no arquivo protege.reg o seguinte.
REGEDIT4
[HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel]
"Proxy"=dword:00000001

Este desabilitara a opcao de mexer na configuracao do proxy no propriedades do IE.

valeu.
Geomar

0 0

[9] Comentário enviado por alphainfo em 03/05/2004 - 11:58h

Aê Geomar, esse script teu é bem legal...
valew

0 0

[10] Comentário enviado por ofmaciel em 17/05/2004 - 15:00h

Excelentes artigos. Gostaria de uma dica: se é possível, como fazer com que somente alguns usuários( ou alguns IPS, ou alguns endereços MAC) sejam obrigados à autenticação para acesso à internet, via squid, enquanto todos os demais sejam livres ( sem logon).

Grato, ofmaciel

0 0

[11] Comentário enviado por gamaj em 30/05/2004 - 13:33h

Pessoal,

Também estou com o memso problema do amigo cbgrando.

Também optei pela autenticação via Samba, no Servido tenho Inatalado o pacote do Samba 3.0.2 do Slack 9.1 será que neste pacote já não esta incluso o samba-client.

quando tento o comando
#/usr/lib/squid/smb-auth -W LINUX -U 192.168.0.1 -d
valdir Tempra22
Domain name: LINUX
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
/usr/local/smb_auth-0.05//smb_auth.sh: line 1: /etc/samba/bin/nmblookup: No such file or directory
Domain controller IP address:
ERR

Como posso resolver isso?

Conto com a colaboração do amigos:

0 0

[12] Comentário enviado por scoscis em 13/09/2004 - 11:21h

eu uso o slackware e estava acontecendo isso com o meu tb...
faz assim...
primeiro procura onde esta o nmblookup..

find / -iname nmblookup

> no meu caso era /usr/local/bin/nmblookup

ai eh soh editar o arquivo smb_auth.sh, todo o lugar onde estiver '/blabla/blabla/nmblookup' voce troca para o lugar que voce encotrou com o find..

IMPORTANTE

soh mude o que esta dentro das ' '
ficaria assim ' /usr/local/bin/nmlookup' ...

valeu

Thiago Debia
th.debia@ig.com.br

0 0

[13] Comentário enviado por alehm em 30/09/2004 - 10:36h

Ola Pessoal,
meu nome eh Alexandre havia configurado meu squid + smb_auth em um slackware e estava funcionando na boa, mas depois que fiz um upgrade de pacotes, parou de funcionar, qdo faco:
# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
fica parado e nao da nenhuma informacao.

alguem poderia me dar uma dica do que pode estar acontecendo?

agradeco a colaboracao de todos

Alexandre

0 0

[14] Comentário enviado por alehm em 30/09/2004 - 10:37h

Ola Pessoal,
meu nome eh Alexandre havia configurado meu squid + smb_auth em um slackware e estava funcionando na boa, mas depois que fiz um upgrade de pacotes, parou de funcionar, qdo faco:
# /usr/lib/squid/smb-auth -W EXEMPLO -U 10.62.1.1 -d --> ENTER
usuário "senha" --> ENTER
fica parado e nao dah nenhuma mensagem.

alguem poderia me dar uma dica do que pode estar acontecendo?

agradeco a colaboracao de todos

Alexandre

0 0

[15] Comentário enviado por germano_silva em 26/02/2005 - 23:49h

Caro Alexandre;

Deu uma olhada no man pq devido a troca de versoes as vezes pode ocorrer de certos comandos serem trocados

Abraços

Germano Silva

0 0

[16] Comentário enviado por mazzaropi em 19/05/2005 - 10:15h

Funcionou na Slackware, mas tenho uma dúvida. Seria possível eu liberar apenas alguns sites para determinado usuário ou grupo de usuário, proibindo-o de ver o resto?
Obrigado.

0 0

[17] Comentário enviado por lucasfs em 23/11/2005 - 11:11h

Estou com o mesmo problema, olhem o resultado:

/usr/lib/squid/smb_auth -W type -U 192.168.200.1 -d
user suporte
Domain name: type
Pass-through authentication: no
Query address options: -U 192.168.200.1 -R
Domain controller IP address: 192.168.200.1
Domain controller NETBIOS name: SERVIDOR
Contents of //SERVIDOR/NETLOGON/proxyauth:
ERR

O arquivo proxyauth está criado e dentro dele contém "allow" apenas

0 0

[18] Comentário enviado por jasonn em 15/12/2005 - 17:11h

é facil de resolver isso cara, faça isso aqui:
entre no arquivo:
vim /usr/lib/squid/smb_auth.sh

e coloque essa chave da forma que esta aqui:

export SAMBAPREFIX=/usr
read DOMAINNAME
read PASSTHROUGH
read NMBADDR
read NMBCAST
read AUTHSHARE
read AUTHFILE
read SMBUSER
read SMBPASS

Depois que fizer isso, dê o comando export

pronto teste:

/usr/lib/squid/smb_auth -W type -U 192.168.200.1 -d
maria 123456

claro que maria e a senha 123456 é uma ilusoria.
esta resolvido seu problema.
Abraços do amigo jasonnfedora.
Comunidade Fedora Brasil

Aqui esta a minha configuracao:

[root@fedorabrasil netlogon]# /usr/lib/squid/smb_auth -W fbrasil -U 192.168.1.1 -d
jasonnfedora toaquitola
Domain name: fbrasil
Pass-through authentication: no
Query address options: -U 192.168.1.1 -R
Domain controller IP address: 192.168.1.1
Domain controller NETBIOS name: SMB_FBRASIL
Contents of //SMB_FBRASIL/NETLOGON/proxyauth: allow
OK

0 0

[19] Comentário enviado por obochecha em 04/01/2006 - 11:07h

Tava tão bom, tudo dando certo, o dominio ta dando como ok sem erros nenhum usando o smb_auth, sendo que quando vou autenticar
ele nao aceita
fica na mesma tela de ligoin.
e depois de umas 5 tentativas da como acesso negado
o usuario ta cadastrado e a senha esta correta.
pq isso tá acontecendo?

0 0

[20] Comentário enviado por jgama em 08/02/2006 - 02:25h

Olá pessoal, depois de muito tempo voltei a fazer o teste da autenticação via samba, e desta vez deu tudo certo, o problema anterior era permissão.

batou eu dar permissão no arquivo exemplo:

#chmod 755 /home/samba/netlogn/proxyauth

agora o teste deu certo

[root@servidor laide]# /usr/lib/squid/smb_auth -W LINUXGAMA -U 192.168.0.1 -d
julia Palio145
Domain name: LINUXGAMA
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
Domain controller IP address: 192.168.0.1
Domain controller NETBIOS name: SERVIDOR
Contents of //SERVIDOR/NETLOGON/proxyauth: allow
OK

Abraço a todos

0 0

[21] Comentário enviado por cleitão em 01/03/2006 - 15:38h

Legal pra caramba este artigo só gostaria de saber se alguém já teve sucesso implementando ele em uma distro baseada no Debian........

Valeu galera!!!!!!!!1

0 0

[22] Comentário enviado por amendes em 21/03/2006 - 16:41h

Olá pessoal,

Fiz todas as configurações, conforme indicado, criei o arquivo proxyauth, dei permissão, via linha de comando funciona normalmente, mas quando faço via Internet Explorer ele não autentica, a tela de usuário e senha sempre volta.

Alguma dica?

0 0

[23] Comentário enviado por Estival em 22/03/2006 - 11:28h

Gente algumas Ditribuições podem ter problemas utilizando o smb_auth da internet: http://www.hacom.nl/~richard/software/smb_auth.html, muito antigo (1999).

se a versão que vem com a distribuição for mais nova utilizem-na.
se for compilar observe bem as variaveis SAMBAPREFIX e INSTALLBIN

e como o jgama falou nao esqueça das permissões:

#chmod 755 /home/samba/netlogn/proxyauth

Até Mais...

Marcos Estival

0 0

[24] Comentário enviado por amendes em 29/03/2006 - 08:11h

Pessoal, percebi problemas na distribuição do Fedora 3, ela não identifica a opção ident quando é criada uma ACL e também o smb_auth não funciona.
Ao instalar o RedHat 9 e baixar o smb_auth da internet funcionou normalmente.

Valeu Estival

0 0

[25] Comentário enviado por jssandim em 13/09/2006 - 17:30h

Pessoal,
Estou com um problema no meu smb_auth. Ele funcina ok, faço o teste de autenticação de usuario (smb_auth -W LAB.FUMEC.BR) dá ok. Mas quando usuario loga no Domain controler (Samba) e depois vai colocar sua senha no Internet explorer para autenticar no squid, não é aceito. Ai se o usuario logar primeiro no ie sem passar pela autenticação dominio samba, funciona. Outras duas observações:
-O usuário logado no dominio primeiro, ele é removido e adcionado novamente(userdel fulano ,useradd fulano), funciona a autenticação no internet explorer com usuario ainda logado no dominio.
-O usuario que é administrador loga no dominio e depois no ie e não acontece o erro.
Aguardo uma resposta.
Obrigado.

0 0

[26] Comentário enviado por valberaguiar em 24/10/2006 - 18:19h

gerando relatório por usuário autenticado com SARG

0 0

[27] Comentário enviado por valberaguiar em 24/10/2006 - 18:20h

Qual a configuração para gerar relatório por usuário autenticado com SARG?

0 0

[28] Comentário enviado por hdfogo em 07/11/2006 - 16:40h

Estou tambem com problema para fazer autenticação e já fiz tudo o que foi sugerido aqui sera que alguem pode me ajudar este é o erro

root@fwsvr:~# /usr/libexec/smb_auth -W DOMINIO -U 192.168.0.1 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 192.168.0.1 -R
Domain controller IP address: 192.168.0.1
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth:
ERR

o arquivo proxyauth foi criado na pasta de compartilhamento netlogon e com allow e esta com permissão para todos não sei mais o que fazer

Aguadro uma resposta

Muito obrigado

0 0

[29] Comentário enviado por super7 em 14/05/2007 - 20:40h

.

0 0

[30] Comentário enviado por super7 em 14/05/2007 - 20:44h

Ola Pessoal, por favor me SOCORRAM!! Estou com o debian etch, o problema é q ja fiz de tudo. A maquina Squid ja esta incluida no Dominio Linux, o arquivo proxyauth ja esta com as permissoes 755, o compartilhamento "netlogon" esta funcionando certinho, testei manualmente pelo smbclient e funcionou, mas qdo rodo o /usr/lib/squid/smb_auth -W DOMINIO -U IP-DOSERVER -d só aparece a mensagem ERR nada mais. Acho q é algum problema no smb_auth.sh, q tb ja mexi em tudo , e nem sei mais aonde mexer. Por favor me ajudem, deve ser algum caminho q mudou no etch. Um abraço e desde ja muito obrigado e parabens por esse Artigo Estival.

0 0

[31] Comentário enviado por angkor em 13/06/2007 - 14:22h

Ola pessoal, estou com alguns problemas obviamente por não ter o samba (ou algum módulo) instalado. A pergunta é:
O que é que tenho que instalar no meu proxy para esse esquema de altenticação funcionar?
Se for o samba, qual a opção devo habilitar?

Atenciosamente,
Angkor

0 0

[32] Comentário enviado por Estival em 21/06/2007 - 09:10h

Ola Angkor, vc precisa do samba-client para que funcione, use o debug para verificar se tem conexão:
/usr/lib/squid/smb_auth -W DOMINIO -U IP-DOSERVER -d

0 0

[33] Comentário enviado por celsomagela12 em 30/06/2007 - 11:44h

Olá gente!
sou novato por aqui e preciso de ajuda:
resolvi trocar o servidor de internet, instalei o CentOS.
o IP do servidor de internet é 192.168.0.66
o IP do servidor samba é 192.168.0.67
Minha máquina 66 conecta na internet Ok, mas não consigo rodar a autenticação no samba.
mudei recentemente o IP do Servidor Samba de 118 para 67, quando eu testo a autenticação, fica assim:

root@CentOs:# /usr/local/bin/smb_auth -W DOMINIO -U 192.168.0.67 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 192.168.0.68 -R
Domain controller IP address: 192.168.0.118 (aqui aparece errado)
Domain controller NETBIOS name: SERVER
Contents of //SERVER/NETLOGON/proxyauth:
ERR

preciso alterar o IP no "Domain controller IP address:" e não sei onde.
o arquivo proxyauth está no diretrório /home/netlogon do samba

0 0

[34] Comentário enviado por phmonteiro_df em 08/08/2007 - 12:49h

Estival...todas as opções dão certo...o squid starta ok...a autenticação no diretório samba...mas na hora de abrir o I E ele não pede senha....o que pode ser ?

0 0

[35] Comentário enviado por celsomagela12 em 08/08/2007 - 14:31h

O IE está com a opção "usar servidor proxy" marcada???

0 0

[36] Comentário enviado por adalmar em 05/10/2007 - 12:50h

Eu vi seu artigo mais não tenho servidor de autenticação, eu uso o linux red hat 9, essa regra:
auth_param basic program /usr/bin/ncsa_auth /etc/squid/squid_passwd
acl password proxy_auth REQUIRED
http_access allow password

depois executei #htpasswd -c /etc/squid/squid_passwd adalmar
criei a senha e tudo
quando vou acessar a internet abre a tela de autenticação mais não reconhece o usuário, existe algun procedimento errado?

0 0

[37] Comentário enviado por Estival em 08/10/2007 - 14:34h

verifique o caminho do ncsa_auth... no meu esta noutra pasta "/usr/lib/squid"

0 0

[38] Comentário enviado por tiagomello em 29/11/2007 - 14:18h

o amigo ali em cima reclamou sobre usuarios espertos que desabilitam o proxy e passam por fora, acessando tudo que quiser, uma solução foi dada(desabilitar as opções firewall) mas em qualquer canto da internet podemos encontrar dicas de como reverter isso. A dica que eu vou dar é de se bloquear via firewall a porta 80 para saida, e somente sairia via porta 3128 do squid. aih amigo, nao tem jeito, pra burlar isso só com a senha do root do servidor com o squid

0 0

[39] Comentário enviado por manguetiz em 11/12/2007 - 11:25h

Gostei do seu artigo, porém, estou com problema... faço o teste por linha de comando para autenticação no AD da minha rede e retorna as informações abaixo:

Domain name: MEU_DOMINIO
Pass-through authentication: no
Query address options: -U XXX.XXX.XXX.XXX -R
Domain controller IP address:
ERR

Já criei o arquivo "proxyauth" dento da pasta NETLOGON no servidor com apenas a linha "allow" (sem as aspas, logico), dei permissão de leitura a principio para todos para poder realizar os testes.
O que pode estar acontecendo ???
Desde já agradeço e aguardo ajuda.

0 0

[40] Comentário enviado por Estival em 12/12/2007 - 14:20h

Tente colocar o -d de DEBUG :

/usr/lib/squid/smb_auth -W DOMINIO -U 1.1.1.1 -d
usuario senha
Domain name: DOMINIO
Pass-through authentication: no
Query address options: -U 1.1.1.1 -R
Domain controller IP address: 1.1.1.1
Domain controller NETBIOS name: SMBSERVER
Contents of //SMBSERVER/NETLOGON/proxyauth: allow
OK

0 0