Création d'un squid avec authentification LDAP
Salut a tous vu le temps que
j'ai passé à faire ce squid plus tous les problèmes de que j'ai rencontrés et
surtout le peu de doc en particulier en français je me suis décidé à partagé
mon travail :
le tuto consistera donc à une installation de A à Z d'un serveur squid puis
d'un squidguard et pour finir comme utilisé les données reçus.
Dans un soucis de compréhension je vais définir une légende :
- dc = domaine contrôleur
- domaine = au nom de domaine
de votre réseaux par exemple valentin.net
- ns = le DNS du réseaux qui
auront pour ip 192.168.1.2 et 192.168.1.3
- nomgroup = c'est le nom du
réseaux c 'est à dire alias du domaine sous celui que l'on voit quand on va se
logger sur un windows par exemple, c 'est demandé "domaine :" ,
aussi appelé nom court du domaine.
Tous d'abord il faut déjà préparer la machine pour cela j'ai crée une machine
avec deux interfaces réseaux puis j'ai mis ma machine en routeur pour pouvoir
faire passer les paquets d'une interface à l'autre.
nano /proc/sys/net/ipv4/ip_forward
il faut mettre la valeur à 1
Paramétrage de l'heure du système :
rdate -n
dc.domaine
Vérification de la
synchronisation grâce à la commande date
date
C'est à dire qu'il faut que les
heures du dc et du serveur squid ne soit pas décalé
Configuration du fichier des sources liste /etc/apt/source.list
deb http://mirror.ovh.net/debian/ squeeze main
deb-src http://mirror.ovh.net/debian/ squeeze main
deb http://security.debian.org/ squeeze/updates main
deb-src http://security.debian.org/ squeeze/updates main
# squeeze-updates, previously known as 'volatile'
deb http://mirror.ovh.net/debian/ squeeze-updates main
deb-src http://mirror.ovh.net/debian/ squeeze-updates main
Configuration du fichier /etc/hosts :
127.0.0.1 localhost.domaine
localhost localhost
192.168.1.10
debian-proxy.domaine debian-proxy
debian-proxy
192.168.1.1
dc.domaine dc dc
Configuration du fichier DNS : /etc/resolv.conf
ce sont les ip des serveurs DNS
search
domaine
nameserveur
192.168.1.2
nameserveur
192.168.1.3
Debut de l'installation :
Pour installer les paquets j'ai
eu besoin de rajouter dans le fichier /etc/hosts la ligne
91.121.124.139 mirror.ovh.net
apt-get update
apt-get install samba krb5-user libpam-krb5 ntpdate winbind
Configuration du fichier /etc/krb5.conf
Il faut
faire très attention au majuscule !!! C'est à dire DOMAINE
c'est qu'il faut écrire votre nom de domaine en majuscule
[libdefaults]
default_realm = DOMAINE
dns_lookup_kdc =
yes
dns_lookup_realm =
yes
default_keytab_name =
/etc/krb5.keytab
# for Windows 2003
# default_tgs_enctypes = rc4-hmac des-cbc-crc
des-cbc-md5
# default_tkt_enctypes = rc4-hmac des-cbc-crc
des-cbc-md5
#
permitted_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
# for Windows 2008 with AES
default_tgs_enctypes
= aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
default_tkt_enctypes
= aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
permitted_enctypes
= aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
[realms]
DOMAINE =
{
kdc = dc.DOMAINE
admin_server = dc.DOMAINE
}
[domain_realm]
.domaine = DOMAINE
domaine =
DOMAINE
[logging]
kdc =
FILE:/var/log/kdc.log
admin_server
= FILE:/var/log/kadmin.log
default =
FILE:/var/log/krb5lib.log
Test de fonctionnement :
administrateur c'est le compte
administrateur de vote
root@proxy-deb:~# kinit administrateur
Password for administrateur@DOMAINE:
Une fois le mot de passe validé
il n'y a aucune réponse si cela a fonctionné
pour vérifier la prise en compte de l'authentification il faut faire
:
root@proxy-deb:~# klist
Ticket cache: FILE:/tmp/krb5cc_0
Default
principal: administrateur@DOMAINE
Valid
starting Expires Service
principal
01/30/13 09:48:54
01/30/13 10:48:54 krbtgt/DOMAINE@DOMAIN
Extinction des deux services samba et winbind :
root@proxy-deb:~# service winbind stop
Stopping the Winbind daemon: winbind.
root@proxy-deb:~# service samba stop
Stopping Samba daemons: nmbd smbd.
Configuration du fichier /etc/samba/smb.conf
[global]
workgroup = NOMGROUP
realm = DOMAINE
security = ads
encrypt passwords = yes
password server = dc.DOMAINE
idmap uid = 10000-20000
idmap gid = 10000-20000
winbind enum groups = yes
winbind enum users = yes
winbind use
default domain = yes
Après cela il faut mettre le serveur sur le domaine :
root@proxy-deb:~#
net join -U adm
Enter adm's password:
Using short domain name -- NOMGROUP
Joined 'PROXY-DEB' to realm 'domaine''
[2013/01/30 09:53:30.382484, 0]
libads/kerberos.c:333(ads_kinit_password)
kerberos_kinit_password PROXY-DEB$@DOMAINE failed: Client not found in
Kerberos database
IMPORTANT aprés toute
modification du fichier de conf il FAUT relancer les deux services sinon la
commande wbinfo -g et wbinfo -u ne fonctionne pas
on peut voir que le pc à était
ajouté dans le domaine en allant voir dans le dc
Test de fonctionnement :
root@proxy-deb:~#
net ads testjoin
Join is
OK
La commande permet de voir les groupe
du DC, si la connections est effective.
root@proxy-deb:~# wbinfo -g
groupeadministrateur
groupeclients
groupeinvités
Puis cette commande permet de
voir les utilisatreurs du DC, si la connections est effective.
root@proxy-deb:~#
wbinfo -u
paul.jack
dupond.pierre
administrateur
Ensuite il faut test si la
communication s'effectue convenablement avec le DC grâce à
cette commande :
root@proxy-deb:~# /usr/bin/ntlm_auth
--helper-protocol=squid-2.5-basic
paul.pierre
ERR
motdepasseducompte
ERR
paul.pierre
motdepasseducompte
OK
Ceci fait une tentative
d'authentification sur le DC comme on peut le voir dans l'exemple il faut
mettre le loggin motdepasse sur la même ligne en claire mais ici ce n'est qu'un
test de fonctionnement.
Maintenant nous allons attaquer la configuration de squid :
apt-get install squid3
vi /etc/squid3/squid.conf
il faut ajouter les lignes
suivantes personnellement je me suis arrangé pour les rajouté a coté des ligne
qui correspondes dans le fichier pour garder une cohérence et une facilité de
manipulation.
attention le mot
"domain" est a laisser tel quel c'est domaine qui faut remplacer
auth_param ntlm program /usr/bin/ntlm_auth
--helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param basic program /usr/bin/ntlm_auth
--helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid AD
auth_param basic credentialsttl 2 hours
acl ntlm proxy_auth REQUIRED
http_access allow ntlm
append_domain domaine
forwarded_for off
visible_hostname proxy-deb
cache_effective_group winbindd_priv
Il faut
modifié cette ligne qui est l'ip de l'interface d'entrée sur le serveur ainsi
que le port :
http_port 10.50.1.202:3128
Ensuite il
faut configuré le nsswitch /etc/nsswitch :
passwd: compat
group: compat
shadow: compat
hosts: files
networks: files
protocols: db files
services:
db files
ethers:
db files
rpc:
db files
netgroup: nis
C'est finit
pour cette partie a ce moment la de l'installation vous pouvez déjà ajouter des
ordinateur sur le serveur squid.
Lorsque
le client une fois configuré voudra se connecter a internet il n'aura pas
besoin de s'authentifier en effet squid utilise le login motdepasse de la
session utilisé pour lancé windows si l'ordinateur n'est pas sur le domaine il
y aura alors un popup qui demandera login motdepasse
