KerberosおよびWindows 2008/2003/7 / XPでSquidを認証する

15

これは私が最近設定したもので、非常に大きな痛みでした。私の環境では、SquidにWindows 7クライアントをWindows 2008 Serverに対して見えないように認証させていました。NTLMを使用するには、各クライアントでレジストリを変更する必要があるため、実際にはオプションではありません。

MSはWindows 2000以来Kerberosを推奨してきたので、ついにプログラムを入手する時が来ました。

SquidメーリングリストのMarkus Moellerに感謝します。

windows-server-2008  active-directory  windows-7  squid  kerberos 
— ハーレー
ソース

回答:

15

これはSquid 3.0でセットアップされ、Squid 3.1でもテストされており、Squid 2.7で動作するはずです。Windowsユーザーは、Active DirectoryのSQUID_USERSグループのメンバーである必要があります（とにかくこの場合）。

Windows側では、Windows XPおよびWindows 2007はWindows 2008に対して、Windows XPはWindows 2003に対してテストされています。

ほとんどすべてのステップが、進行する前にステップを必要とすることに注意してください。

問題がある場合は、DNSが常に最初に確認する場所です。両方のWindowsマシンは、名前でLinuxサーバーにpingを実行できる必要があり（その逆も可能）、ipconfig /flushdns時々実行する必要があります。あなたが本当に周りに漂流物がないことを確認したい場合は、再起動も役立ちます。

ドメイン情報

  • Windowsドメイン： dom.local
  • ドメインサーバー：server.dom.local、172.17.3.11
  • CentOS squidサーバー：centos.dom.local、172.17.3.10

ドメインサーバーのセットアップ

  1. dom.localDNS構成で逆ゾーンを作成します。
  2. をcentos.dom.local指す静的（ 'A'）レコードを作成し、逆PTRもセットアップするかどうかを尋ねられたら172.17.3.10[ はい]を選択します。

Windows 2008

Windows 2008サーバーの場合、Hotfix 951191をインストールする必要があります。

Linuxセットアップ

マイナーパッケージ

パッケージをインストールする

$ yum install -y cyrus-sasl-gssapi cvs autoconf automake openldap openldap-devel krb5-workstation krb5-devel gcc-c++

インストールしますmsktutil。ビルドする前にパッチを適用する必要があります。

$ wget http://download.systemimager.org/~finley/msktutil/msktutil_0.3.16.orig.tar.gz
$ wget http://download.systemimager.org/~finley/msktutil/msktutil_0.3.16-7.diff.gz
$ gunzip msktutil_0.3.16-7.diff.gz
$ tar zxf msktutil_0.3.16.orig.tar.gz
$ cd msktutil-0.3.16
$ patch < ../msktutil_0.3.16-7.diff
$ ./configure && make && make install

最新のイカ_縁石_ldapをコンパイルします。

$ cvs -z3 -d:pserver:anonymous@squidkerbauth.cvs.sourceforge.net:/cvsroot/squidkerbauth co -P squid_kerb_ldap
$ cd squid_kerb_ldap
$ ./configure && make

DNS

system-config-networkドメインコントローラーへのDNSポイントの構成に使用し、ホスト名をに設定しcentos.dom.localます。

リブート

リバースDNSが機能していることを確認します：$ dig -x 172.17.3.10

あなたはcentos.dom.local答えセクションに入るべきです。あなたがいなければ続ける意味がない。DNSが正しく構成されていないと、 Kerberos認証は機能しません。

Kerberos

あなたはkrb.confこのような何かのようになります。

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = DOM.LOCAL
 dns_lookup_realm = false
 dns_lookup_kdc = false
 ticket_lifetime = 24h

# For Windows XP:
 default_tgs_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
 default_tkt_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
 permitted_enctypes = rc4-hmac des-cbc-crc des-cbc-md5

# For Windows 2007:
# default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
# default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
# permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
 forwardable = yes

[realms]
 DOM.LOCAL = {
  kdc = 172.17.3.11:88
  admin_server = 172.17.3.11:7491
  default_domain = dom.local
 }

[domain_realm]
 .dom.local = DOM.LOCAL
 dom.local = DOM.LOCAL

[appdefaults]
 pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}

キータブを作成します。

$ kinit administrator
$ msktutil -c -b "CN=COMPUTERS" -s HTTP/centos.dom.local -h centos.dom.local -k /etc/HTTP.keytab --computer-name centos-http --upn HTTP/centos.dom.local --server server.dom.local --verbose

Windows 2008の場合--enctypes 28、msktutilコマンドに追加する必要があります。

いか

squidをインストールします。

$ wget http://www.squid-cache.org/Versions/v3/3.0/squid-3.0.STABLE18.tar.gz
$ tar zxvf squid-3.0.STABLE18.tar.gz 
$ cd squid-3.0.STABLE18
$ ./configure --enable-negotiate-auth-helpers=squid_kerb_auth --enable-stacktraces --prefix=/opt/squid-3.0
$ make
$ make install
$ cp helpers/negotiate_auth/squid_kerb_auth/squid_kerb_auth /opt/squid-3.0/sbin/
$ cp ~/squid_kerb_ldap/squid_kerb_ldap /opt/squid-3.0/sbin/
$ cd /opt/squid-3.0/
$ mv etc/squid.conf etc/squid.conf.ORIG

squid.confで適切なパラメーターを設定します。

auth_param negotiate program /opt/squid-3.0/sbin/squid_kerb_auth -d -s HTTP/centos.dom.local
auth_param negotiate children 10
auth_param negotiate keep_alive o

external_acl_type SQUID_KERB_LDAP ttl=3600  negative_ttl=3600  %LOGIN /opt/squid-3.0/sbin/squid_kerb_ldap -d -g SQUID_USERS
acl AUTHENTICATED proxy_auth REQUIRED
acl LDAP_GROUP_CHECK external SQUID_KERB_LDAP
acl localnet src 172.17.3.0/24        # RFC1918 possible internal network

#http_access allow localnet
#http_access allow AUTHENTICATED
http_access allow LDAP_GROUP_CHECK

cache_dir ufs /var/cache/squid-3.0 100 16 256
access_log /var/log/squid-3.0/access.log squid
cache_log /var/log/squid-3.0/cache.log
cache_store_log /var/log/squid-3.0/store.log
pid_filename /var/run/squid-3.0.pid
cache_effective_user squid
cache_effective_group squid
coredump_dir /var/cache/squid-3.0

ユーザーとディレクトリをセットアップします。

$ chown -R squid:squid /opt/squid-3.0/
$ mkdir /var/cache/squid-3.0
$ chown -R squid:squid /var/cache/
$ mkdir /var/log/squid-3.0
$ chown -R squid:squid /var/log/squid-3.0/
$ chown squid:squid /etc/HTTP.keytab

キャッシュを作成します。

$ /opt/squid-3.0/sbin/squid -z

初期化スクリプト

これは重要です。Squidを適切に実行するには、いくつかの環境変数のセットアップが必要です。これを行う最良の方法は、initスクリプトを使用することです。以下は、わずかに編集されたCentOSのものです。

#!/bin/bash
# squid     This shell script takes care of starting and stopping
#       Squid Internet Object Cache
#
# chkconfig: - 90 25
# description: Squid - Internet Object Cache. Internet object caching is \
#   a way to store requested Internet objects (i.e., data available \
#   via the HTTP, FTP, and gopher protocols) on a system closer to the \
#   requesting site than to the source. Web browsers can then use the \
#   local Squid cache as a proxy HTTP server, reducing access time as \
#   well as bandwidth consumption.
# pidfile: /var/run/squid-3.0.pid
# config: /opt/squid-3.0/etc/squid.conf

PATH=/usr/bin:/sbin:/bin:/usr/sbin
export PATH

# Source function library.
. /etc/rc.d/init.d/functions

# Source networking configuration.
. /etc/sysconfig/network

# don't raise an error if the config file is incomplete
# set defaults instead:
SQUID_OPTS=${SQUID_OPTS:-"-D"}
SQUID_PIDFILE_TIMEOUT=${SQUID_PIDFILE_TIMEOUT:-20}
SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

KRB5_KTNAME=/etc/HTTP.keytab
export KRB5_KTNAME

# determine the name of the squid binary
[ -f /opt/squid-3.0/sbin/squid ] && SQUID=/opt/squid-3.0/sbin/squid

prog="$SQUID"

# determine which one is the cache_swap directory
CACHE_SWAP=`sed -e 's/#.*//g' /opt/squid-3.0/etc/squid.conf | \
    grep cache_dir |  awk '{ print $3 }'`
[ -z "$CACHE_SWAP" ] && CACHE_SWAP=/var/spool/squid-3.0

RETVAL=0

start() {

        #check if the squid conf file is present
        if [ ! -f /opt/squid-3.0/etc/squid.conf ]; then
            echo "Configuration file /opt/squid-3.0/etc/squid.conf missing" 1>&2
            exit 6
        fi
        . /etc/sysconfig/squid

        # don't raise an error if the config file is incomplete.
        # set defaults instead:
        SQUID_OPTS=${SQUID_OPTS:-"-D"}
        SQUID_PIDFILE_TIMEOUT=${SQUID_PIDFILE_TIMEOUT:-20}
        SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

        if [ -z "$SQUID" ]; then
                echo "Insufficient privilege" 1>&2
                exit 4
        fi

        for adir in $CACHE_SWAP; do
        if [ ! -d $adir/00 ]; then
         echo -n "init_cache_dir $adir... "
         $SQUID -z -F -D >> /var/log/squid-3.0/squid.out 2>&1
    fi
    done
    echo -n $"Starting $prog: "
    $SQUID $SQUID_OPTS >> /var/log/squid-3.0/squid.out 2>&1
    RETVAL=$?
    if [ $RETVAL -eq 0 ]; then
       timeout=0;
       while : ; do
          [ ! -f /var/run/squid-3.0.pid ] || break
      if [ $timeout -ge $SQUID_PIDFILE_TIMEOUT ]; then
         RETVAL=1
         break
      fi
      sleep 1 && echo -n "."
      timeout=$((timeout+1))
       done
    fi
    [ $RETVAL -eq 0 ] && touch /var/lock/subsys/squid-3.0
    [ $RETVAL -eq 0 ] && echo_success
    [ $RETVAL -ne 0 ] && echo_failure
    echo
    return $RETVAL
}

stop() {
    . /etc/sysconfig/squid

    # don't raise an error if the config file is incomplete.
    # set defaults instead:
    SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

    echo -n  $"Stopping $prog: "
    $SQUID -k check >> /var/log/squid-3.0/squid.out 2>&1
    RETVAL=$?
    if [ $RETVAL -eq 0 ] ; then
        $SQUID -k shutdown &
        rm -f /var/lock/subsys/squid-3.0
    timeout=0
    while : ; do
        [ -f /var/run/squid-3.0.pid ] || break
        if [ $timeout -ge $SQUID_SHUTDOWN_TIMEOUT ]; then
            echo
            return 1
        fi
        sleep 2 && echo -n "."
        timeout=$((timeout+2))
        done
    echo_success
    echo
    else
        echo_failure
    echo
    fi
    return $RETVAL
}

reload() {
    . /etc/sysconfig/squid
    # don't raise an error if the config file is incomplete.
    # set defaults instead:
    SQUID_OPTS=${SQUID_OPTS:-"-D"}

    $SQUID $SQUID_OPTS -k reconfigure
}

restart() {
    stop
    start
}

condrestart() {
    [ -e /var/lock/subsys/squid-3.0 ] && restart || :
}

rhstatus() {
    status $SQUID && $SQUID -k check
}

probe() {
    return 0
}

case "$1" in
start)
    start
    ;;

stop)
    stop
    ;;

reload)
    reload
    ;;

restart)
    restart
    ;;

condrestart)
    condrestart
    ;;

status)
    rhstatus
    ;;

probe)
    exit 0
    ;;

*)
    echo $"Usage: $0 {start|stop|status|reload|restart|condrestart}"
    exit 2
esac

exit $?

これらは重要な行です：

KRB5_KTNAME=/etc/HTTP.keytab
export KRB5_KTNAME

クライアントマシン

centos.dom.localポートを使用してプロキシをサーバーに設定します3128。IPアドレスではなく完全修飾ドメイン名を使用することが重要です。

— ハーレー
ソース
msktutilはに移動したfuhm.net/software/msktutil
— gurubert
1

/etc/init.d/squidを編集してKRB5_KTNAME環境変数を設定する代わりに、/ etc / sysconfig / squidに行を追加するだけです。initスクリプトは実行のたびに/ etc / sysconfig / squidをソースとするため、これらの2行を取得します。

さらに、ホストをKDCおよびkadminサーバーとして明示的に指定する必要はありません。ActiveDirectoryドメインのDNSドメインを入力するだけで十分です。理由は2つあります。

  1. MIT KerberosとHeimdalケルベロスはどちらもWindowsクライアントがKDCとkadminサーバーを見つけるために使用する同じSRVレコードを使用するのに十分スマートです。
  2. DNSドメイン（この例ではdom.local）は、ドメインコントローラーを指すAレコードを返します。
ナイスポイント。これはCentOSで設定されましたが、sysconfigを持たないDebianから来ました。そこに行を置くことには特別な利点がありますか？どの部分でDCを指定する必要はないと思いますか？おそらくすべての部分であるべきことはわかっていますが、このプロセス中にDNSをセットアップするのは非常に苦痛でした。
— ハーレー
/etc/init.d/squidを編集しない理由は、次のとおりです。a）Red Hat（およびCentOS）の方法です。ほとんどのRH / CentOS管理者は、initスクリプトではなく/ etc / sysconfigのファイルでこのようなカスタマイズを探しますb）initスクリプトを手動で編集すると、パッケージのアップグレード時に変更が台無しになるリスクがありますRHまたはsquidの新しいバージョンからの修正）（DCの質問には別のコメントで回答する必要があります）
DCの質問に関しては、問題の行は「kdc = 172.17.3.11:88」および「admin_server = 172.17.3.11:7491」です。これらを「kdc = dom.local」および「admin = dom.local」に置き換えることができます。Linuxマシンの「host -ta dom.local」は、ドメインコントローラーのIPアドレスを返します。ドメインコントローラーはすべてKDCであるため、SRV RRをサポートしていないバージョンのKerberosライブラリでもKDCを見つけるのに問題はないはずですが、だれもその古いKerberosライブラリを使用する理由は私にはありません。
0

このチュートリアルに従って、Fedora 12サーバーでsquidを動作させることができました。Linuxサーバーのファイアウォールを確認し（ポート3128を有効にし）、SELinuxを許容モードに設定します。

弊社のサイトを使用することにより、あなたは弊社のクッキーポリシーおよびプライバシーポリシーを読み、理解したものとみなされます。
Licensed under cc by-sa 3.0 with attribution required.