RTzRa's hive - software:squid

SQUID и Kerberos-авторизация через Active Directory

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

SQUID и Kerberos-авторизация через Active Directory

По мотивам http://www.k-max.name/windows/active-directory-as-kdc-nfsv4/#krb5

Почему именно Kerberos?

Kerberos-авторизация в данный момент является самой надежной
Нет необходимости в установке и настройке Samba (а эта штука периодически любит мозг выносить)

Исходные данные

Сервер PROXY с установленным Ubuntu Server (в описанном примере это 14.04.1)
- Сеть настроена верно, прописаны DNS/Gateway, все сервера сети разыменовываются верно (прямая и обратная зона настроены правильно)
- 192.168.1.1 - IP нашего PROXY
- 192.168.1.3 - IP DNS-сервера нашей сети
Домен Active Directory
- MYDOMAIN.RU - имя домена
- ntp.mydomain.ru - сервер времени домена
- dc.mydomain.ru - контроллер домена

Требования

Авторизация через Active Directory
Разным пользователям - разные уровни доступа к сайтам, включая ограничение по скорости
Черный и белый списки сайтов
Отчет по использованию интернета с указанием ФИО пользователей

Установка

Первое что нужно сделать - это присоединить наш сервер к домену Active Directory. Для этого в обязательном порядке необходимо синхронизировать время на всех серверах.

Установка службы времени и синхронизация

# apt-get install ntp

Редактируем /etc/ntp.conf - отключаем все сервера по умолчанию и добавляем свой:

server ntp.mydomain.ru

И перезапускаем сервис:

# service ntpd restart

Kerberos и домен AD

Установка Kerberos

Для подключения нам нужно установить Kerberos

Устанавливаем Kerberos:

# apt-get install krb5-admin-server krb5-config krb5-kdc krb5-user

ОБЯЗАТЕЛЬНО устанавливаем пакет libsasl2-modules-gssapi-mit для правильной работы с Active Directory

# apt-get install libsasl2-modules-gssapi-mit

Настройка Kerberos

Удаляем или переименовываем оригинальный файл /etc/krb5.conf и создаем новый со следующими настройками:

Регистр написания - очень важен!

[libdefaults]
    default_realm = MYDOMAIN.RU

[realms]
    MYDOMAIN.RU = {
        kdc = dc.mydomain.ru
    }

Получаем билет от контроллера домена:

# kinit domain_admin

где domain_admin - логин с правами Domain Administrator, а пароль будет запрошен в приглашении.

Смотрим получен ли билет:

# klist

Создаем keytab-файл на контроллере домена

keytab-файл это «связка ключей», файл содержащий в себе одну или несколько записей - ключей, которые используются вместо логина/пароля при запросе доступа у сервера KDC к какому-либо ресурсу. Другими словами, машина предоставляет данный файл серверу KDC как подтверждение своей достоверности, когда запрашивает у контроллера домена (KDC) доступ к какому-либо ресурсу (например доступ к службе или сетевому каталогу). В большинстве случаев, при настройке какой-либо службы в связке с Kerberos проблемы возникают именно на данном этапе, т.к. именно этот файл является связующим звеном между Windows 2008 и Linux (в нашем случае - Debian). Проблемы обычно связаны с различными типами шифрования, которые поддерживает Windows, но не поддерживает Linux и наоборот.

На контроллере домена даем команду (запустить из-под администратора):

C:\Windows\system32\ktpass.exe /princ HTTP/proxy.mydomain.ru@MYDOMAIN.RU /mapuser proxy@MYDOMAIN.RU /crypto ALL /ptype KRB5_NT_PRINCIPAL /pass +rndpass /out C:\tmp\proxy.keytab

Где proxy.mydomain.ru - FQDN нового прокси-сервера, а proxy@MYDOMAIN.RU - логин пользователя, от имени которого будут делаться запросы в AD

Теперь этот ключ Kerberos необходимо БЕЗОПАСНО скопировать на наш прокси (например чрез WinSCP) и приступить к следующему шагу.

Установка Squid

Устанавливаем:

# apt-get install squid

И приводим конфигурационный файл /etc/squid3/squid.conf к такому виду (описание групп доступа и их настройки см. ниже):

# Аутентификация в Active Directory
auth_param negotiate program /usr/lib/squid3/negotiate_kerberos_auth -s HTTP/proxy.mydomain.ru@MYDOMAIN.RU
auth_param negotiate children 10
auth_param negotiate keep_alive on
external_acl_type inet_medium ttl=300 negative_ttl=60 %LOGIN /usr/lib/squid3/ext_kerberos_ldap_group_acl -g Internet@MYDOMAIN.RU
external_acl_type inet_full ttl=300 negative_ttl=60 %LOGIN /usr/lib/squid3/ext_kerberos_ldap_group_acl -g Internet_Full@MYDOMAIN.RU
external_acl_type inet_low ttl=300 negative_ttl=60 %LOGIN /usr/lib/squid3/ext_kerberos_ldap_group_acl -g Internet_Low@MYDOMAIN.RU

# Стандартные порты
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT

# Белый и черный список
acl white_list url_regex -i "/etc/squid3/white_list"
acl black_list url_regex -i "/etc/squid3/black_list"

# Определяем группы доступа
acl my_full external inet_full
acl my_medium external inet_medium
acl my_low external inet_low

# Перечень сетей
acl all src all
acl our_networks src 192.168.102.0/24

# Авторизация требуется ОБЯЗАТЕЛЬНО, без нее никого не пускать
acl nt_group proxy_auth REQUIRED

# Стандартные разрешения
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager

# Права доступа для наших групп пользователей
http_access allow my_low white_list
http_access deny my_low
http_access deny my_medium black_list
http_access allow my_medium
http_access allow my_full

# Разрешаем локалхост
http_access allow localhost

# Запрещаем все остальное
http_access deny all

# Ограничение пропускной способности интернет-канала
delay_pools 3
delay_class 1 1
delay_class 2 1
delay_class 3 1
delay_parameters 1 -1/-1 -1/-1
delay_parameters 2 384000/384000
delay_parameters 3 32000/32000
delay_access 1 allow Full
delay_access 2 allow Medium
delay_access 3 allow Low

# Порты прокси-сервера
http_port 192.168.1.1:3128
http_port 192.168.1.1:3127 transparent

# Выделяем 3,5 Гб памяти для прокси
cache_mem 3584 MB

# Выделяем место на жестком диске для хранения файлов кэша
cache_dir ufs /var/spool/squid3 100 16 256

# Куда и в каком объеме будем писать логи
access_log /var/log/squid3/access.log
logfile_rotate 100
coredump_dir /var/spool/squid3

# Настройки кэширования
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
refresh_pattern -i \.(gif|png|jpg|jpeg|ico)$    3600    90%     43200
refresh_pattern .               0       20%     4320

# Запрещаем отображение версии прокси-сервера и имени
httpd_suppress_version_string on
visible_hostname PROXYSERVER

# Включаем русский язык для сообщений сервера
error_directory /usr/share/squid3/errors/Russian-1251
error_default_language ru

# Принудительно задаем желаемый DNS-сервер
dns_nameservers 192.168.1.3
dns_v4_first on

Проверяем конфиг на ошибки:

# squid3 -k parse

Если парсер не обнаружил никаких ошибок, можно применить новую конфигурацию Squid:

# squid3 -k reconfigure

или

# service squid3 restart

Squid + Kerberos

Чтобы Squid и соответствующие хелперы умели работать с Kerberos надо добавить в скрипт запуска Squid (или создать файл /etc/default/squid3) следующие строки:

KRB5_KTNAME=/etc/squid3/proxy.keytab
export KRB5_KTNAME

Squid, Kerberos и доменные группы

По умолчанию в Squid 3.3.8-1ubuntu6.1 не включен хелпер ext_kerberos_ldap_group_acl - а это значит что нельзя будет узнавать в какие группы включен пользователь. Для исправления это недостатка необходимо врукопашную собрать этот хелпер. Для этого необходимо установить пакет build-essential и все что ему нужно:

# apt-get install build-essential

Качаем с сайта http://www.squid-cache.org/ нужную версию Squid, в моем случае это http://www.squid-cache.org/Versions/v3/3.3/squid-3.3.8.tar.bz2 и разворачиваем куда-нибудь, например /usr/src/squid/squid-3.3.8

В этой папке делаем следующее:

# ./configure --enable-external-acl-helpers="kerberos_ldap_group" --libexecdir=/usr/lib/squid3 --sysconfdir=/etc/squid3
# make

Теперь все готово для сборки самого хелпера:

# cd /usr/src/squid/squid-3.3.8/helpers/external_acl/kerberos_ldap_group
# make

Если все прошло без ошибок, в папке /usr/src/squid/squid-3.3.8/helpers/external_acl/kerberos_ldap_group можно найти готовый собранный хелпер ext_kerberos_ldap_group_acl и скопировать его в /usr/lib/squid3/ не забыв сделать исполняемым:

# chmod +x ext_kerberos_ldap_group_acl
# cp ext_kerberos_ldap_group_acl /usr/lib/squid3/

Немного подробнее о группах доступа

По условиям у нас в Active Directory есть 3 группы доступа:

Internet_Full - пользователи, входящие в нее имеют доступ на любые сайты, скорость доступа не лимитирована
Internet - пользователи имеют доступ на любые сайты, кроме запрещенных в файле /etc/squid3/black-list со скоростью 4 Мбит/сек ( 48000 Кбайт/сек * 8 = 4 Мбит/сек) на всю группу
Internet_Low - пользователи имеют доступ только на сайты, перечисленные в файле /etc/squid3/white_list со скоростью 256 Кбит/сек (32000 Кбайт/сек * 8 = 256 Кбит/сек) на всю группу

Сопоставление групп идет в следующем кусочке:

# Определяем группы доступа
acl my_full external inet_full
acl my_medium external inet_medium
acl my_low external inet_low

Правила для iptables

Примечание: при работе в прозрачном (transparent) режиме аутентификация пользователей невозможна! Подробнее: http://wiki.squid-cache.org/Features/Authentication#Authentication_in_interception_and_transparent_modes

Завернуть всех пользователей (если PROXY является еще и шлюзом):

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp —dport 80 -j REDIRECT —to-port 3127

Завернуть если PROXY - отдельный сервер:

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp —dport 80 -j DNAT —to 192.168.1.1:3127

где 192.168.1.1 - IP нашего PROXY

Так же можно средствами Group Policy прописать прокси-сервер требуемым объектам GPO

Статистика пользователей

Остался последний этап - отображать красивую статистику посещений сайтов пользователями. Самый простой и красивый инструмент для этого - LightSquid.

Устанавливаем

# apt-get install apache2 lightsquid

Настраиваем Apache

Приводим файл /etc/apache2/conf-available/lightsquid.conf в такой вид (доступ на просмотр даем всем):

Alias   /lightsquid/    /usr/lib/cgi-bin/lightsquid/

<Location "/lightsquid/">
        Options +ExecCGI
        Require local
        Require ip 192.168.1.0/24
</Location>

Раскомментируем строку 219 в файле /etc/apache2/mods-enabled/mime.conf

AddHandler cgi-script .cgi .pl

Запускаем все это дело:

# a2enmod cgi
# a2enconf lightsquid
# service apache2 restart

Настраиваем LightSquid

Необходимо поставить пакет libnet-ldap-perl:

# apt-get install libnet-ldap-perl

Очень хочется чтобы в отчете фигурировало полное ФИО пользователя, а не доменное имя или IP-адрес. Для этого нужно заменить оригинальный файл /usr/share/lightsquid/ip2name/ip2name.squidauth следующим:

#contributor: esl
#specialy for squid with turned on user authentication
#simple version
 
use strict;
use warnings;
use Net::LDAP;
use Encode;
 
my $ldap;
my $message;
my %hDisplayName;
 
sub StartIp2Name() {
        my $server = "ldap://dc.mydomain.ru";
        $ldap = Net::LDAP->new( $server );
        return if(!defined $ldap);
        $message = $ldap->bind(q(mydomain.ru\lightsquid), password => "my_password");
}
 
sub Ip2Name($$$) {
  # $Lhost,$user,$Ltimestamp
  my $Lhost=shift;
  my $user =shift;
  $user    =URLDecode($user); #decode user name
  $user = substr($user, 0, index($user, "\@mydomain.ru"));
  return $Lhost if ($user eq "-");
  return $user if (!defined $ldap);
  return $user if ($message->code());
 
  if (!defined $hDisplayName{$user})
  {
 
    my $result = $ldap->search(
    base        => "dc=mydomain,dc=ru",
    filter      => "(&(objectCategory=person)(objectClass=user)(sAMAccountName=" . $user . "))",
    );
 
my $first_entry = $result->entry(0);
if (!defined $first_entry)
  {
    return $Lhost;
  }
 
my $pure_displayName = $first_entry->get_value("displayName");
$pure_displayName =~ s/ /_/g;
Encode::from_to($pure_displayName, 'utf-8', 'windows-1251');
 
  $hDisplayName{$user}=$pure_displayName;
  }
 
  return $hDisplayName{$user};
}
 
 
sub StopIp2Name() {
        return if (!defined $ldap);
        $message = $ldap->unbind;
}
 
#warning !!!
1;

В этом файле исправляем нижеуказанные строки на свои:

...
        my $server = "ldap://dc.mydomain.ru";
...
        $message = $ldap->bind(q(MYDOMAIN.RU\LightSquid), password => "PASSWORD");
...
    base        => "dc=MYDOMAIN,dc=RU",
...

Теперь в /etc/lightsquid/lightsquid.cfg включаем преобразование логина в ФИО:

$ip2name="squidauth"

Запускаем /usr/share/lightsquid/check-setup.pl и если все хорошо, можно запускать /usr/share/lightsquid/lightparser.pl

В папке /var/lib/lightsquid/report должны появиться отчеты, которые можно поглядеть по адресу: http://192.168.1.1/lightsquid/

Траблшутинг

Ошибка "kerberos_ldap_group: ERROR: Error while binding to ldap server with SASL/GSSAPI: Local error"

Необходимо установить библиотеку Cyrus-SASL, в убунте она называется libsasl2-modules-gssapi-mit

squid, AC, active directory, kerberos, krb, прокси, сквид, авторизация, домен, lightsquid, статистика

SQUID и NTLM-авторизация через Active Directory

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

SQUID и NTLM-авторизация через Active Directory

По мотивам http://macrodmin.ru/2012/07/proksi-squid-s-avtorizaciej-v-domene-active-directory

Данный вид авторизации в настоящее время небезопасен, лучше использовать Kerberos-аутентификацию

Исходные данные

Сервер PROXY с установленным Ubuntu Server (в описанном примере это 14.04.1)
- Сеть настроена верно, прописаны DNS/Gateway, все сервера сети разыменовываются верно
- 192.168.1.1 - IP нашего PROXY
- 192.168.1.3 - IP DNS-сервера нашей сети
Домен Active Directory
- MYDOMAIN.RU - имя домена
- ntp.mydomain.ru - сервер времени домена
- dc.mydomain.ru - контроллер домена

Требования

Авторизация через Active Directory
Разным пользователям - разные уровни доступа к сайтам
Черный и белый списки сайтов
Отчет по использованию интернета с указанием ФИО пользователей

Установка

Установка службы времени и синхронизация

# apt-get install ntp

Редактируем /etc/ntp.conf - отключаем все сервера по умолчанию и добавляем свой:

server ntp.mydomain.ru

И перезапускаем сервис:

# service ntpd restart

Присоединяемся к домену

Для подключения нам нужны следующие пакеты: Samba и Kerberos

Устанавливаем Samba:

# apt-get install samba winbind

Настраиваем Samba, рекомендую оригинальный конфигурационный файл куда-нибудь убрать и создать новый smb.conf со следующим содержимым:

[global]
workgroup = MYDOMAIN
netbios name = PROXY
realm = MYDOMAIN.RU
server string = Proxy server
security = ads
encrypt passwords = true
password server = dc.mydomain.ru
winbind enum users = yes
winbind enum groups = yes
winbind use default domain = yes
winbind uid = 10000-20000
winbind gid = 10000-20000
server role = standalone server
# disable printers error
printing = bsd
printcap name = /dev/null

Небольшой косячок в Samba

По умолчанию в Ubuntu Server 14.04.1 неверно выставлены права для папки /var/lib/samba/winbindd_privileged в результате чего winbind работает криво (не может авторизоваться по NTLM и выдается окно с запросом имени/пароля).

Исправляется следующим образом:

Добавляем пользователя proxy в группу winbindd_priv командой
```
# usermod -G winbindd_priv -a proxy
```
Устанавливаем права на папку:
```
# chgrp proxy /var/lib/samba/winbindd_privileged
```

Перезапускаем Samba:

# service samba restart
# service winbind restart

Устанавливаем Kerberos:

# apt-get install krb5-admin-server krb5-config krb5-kdc krb5-user

Удаляем или переименовываем оригинальный файл /etc/krb5.conf и создаем новый со следующими настройками:

Регистр написания - очень важен!

[logging]
Default = FILE:/var/log/krb5libs.log
kdc = FILE:/var/log/krb5kdc.log
admin_server = FILE:/var/log/kadmin.log

[libdefaults]
    default_realm = MYDOMAIN.RU

[realms]
    MYDOMAIN.RU = {
        kdc = dc.mydomain.ru
        admin_server = dc.mydomain.ru
        default_domain = mydomain.ru
    }

[domain_realm]
    .mydomain.ru = MYDOMAIN.RU
    mydomain.ru = MYDOMAIN.RU

Получаем билет от контроллера домена:

# kinit domain_admin

где domain_admin - логин с правами Domain Administrator, а пароль будет запрошен в приглашении.

Теперь присоединяем наш прокси к домену:

# net ads join -U domain_admin

Если после выполнения команды написано что-то про ошибку DNS - можно не переживать.

Проверяем как прошло наше подключение, должно быть примерно так:

# wbinfo -p
Ping to winbindd succeeded
# wbinfo -t
checking the trust secret for domain MYDOMAIN.RU via RPC calls succeeded

а команды

# wbinfo -g
# wbinfo -u

должны показать список всех групп и пользователей домена.

Установка Squid

Устанавливаем:

# apt-get install squid

И приводим конфигурационный файл /etc/squid3/squid.conf к такому виду (описание групп доступа и их настройки см. ниже):

# Аутентификация в Active Directory
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 25
# basic-авторизация, абсолютно небезопасно, только для тестирования
#auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
#auth_param basic children 25
external_acl_type nt_group %LOGIN /usr/lib/squid3/ext_wbinfo_group_acl
authenticate_ttl 10 minutes

# Стандартные порты
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT

# Белый и черный список
acl white_list url_regex -i "/etc/squid3/white_list"
acl black_list url_regex -i "/etc/squid3/black_list"

# Определяем группы доступа
acl Full external nt_group Internet_Full
acl Medium external nt_group Internet
acl Low external nt_group Internet_Low

# Перечень сетей
acl all src all
acl our_networks src 192.168.102.0/24

# Авторизация требуется ОБЯЗАТЕЛЬНО, без нее никого не пускать
acl nt_group proxy_auth REQUIRED

# Стандартные разрешения
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager

# Права доступа для наших групп пользователей
http_access allow Low white_list
http_access deny Low
http_access deny Medium black_list
http_access allow Medium
http_access allow Full

# Разрешаем локалхост
http_access allow localhost

# Запрещаем все остальное
http_access deny all

# Ограничение пропускной способности интернет-канала
delay_pools 3
delay_class 1 1
delay_class 2 1
delay_class 3 1
delay_parameters 1 -1/-1 -1/-1
delay_parameters 2 384000/384000
delay_parameters 3 32000/32000
delay_access 1 allow Full
delay_access 2 allow Medium
delay_access 3 allow Low

# Порты прокси-сервера
http_port 192.168.1.1:3128
http_port 192.168.1.1:3127 transparent

# Выделяем 3,5 Гб памяти для прокси
cache_mem 3584 MB

# Выделяем место на жестком диске для хранения файлов кэша
cache_dir ufs /var/spool/squid3 100 16 256

# Куда и в каком объеме будем писать логи
access_log /var/log/squid3/access.log
logfile_rotate 100
coredump_dir /var/spool/squid3

# Настройки кэширования
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
refresh_pattern -i \.(gif|png|jpg|jpeg|ico)$    3600    90%     43200
refresh_pattern .               0       20%     4320

# Запрещаем отображение версии прокси-сервера и имени
httpd_suppress_version_string on
visible_hostname PROXYSERVER

# Включаем русский язык для сообщений сервера
error_directory /usr/share/squid3/errors/Russian-1251
error_default_language ru

# Принудительно задаем желаемый DNS-сервер
dns_nameservers 192.168.1.3
dns_v4_first on

Проверяем конфиг на ошибки:

# squid3 -k parse

Если парсер не обнаружил никаких ошибок, можно применить новую конфигурацию Squid:

# squid3 -k reconfigure

или

# service squid3 restart

Немного подробнее о группах доступа

По условиям у нас в Active Directory есть 3 группы доступа:

Internet_Full - пользователи, входящие в нее имеют доступ на любые сайты, скорость доступа не лимитирована
Internet - пользователи имеют доступ на любые сайты, кроме запрещенных в файле /etc/squid3/black-list со скоростью 4 Мбит/сек ( 48000 Кбайт/сек * 8 = 4 Мбит/сек) на всю группу
Internet_Low - пользователи имеют доступ только на сайты, перечисленные в файле /etc/squid3/white_list со скоростью 256 Кбит/сек (32000 Кбайт/сек * 8 = 256 Кбит/сек) на всю группу

Сопоставление групп идет в следующем кусочке:

# Определяем группы доступа
acl Full external nt_group Internet_Full
acl Medium external nt_group Internet
acl Low external nt_group Internet_Low

Правила для iptables

Завернуть всех пользователей (если PROXY является еще и шлюзом):

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp —dport 80 -j REDIRECT —to-port 3127

Завернуть если PROXY - отдельный сервер:

iptables -t nat -A PREROUTING -s 192.168.1.0/24 -p tcp —dport 80 -j DNAT —to 192.168.1.1:3127

где 192.168.1.1 - IP нашего PROXY

Так же можно средствами Group Policy прописать прокси-сервер требуемым объектам GPO

Статистика пользователей

Устанавливаем

# apt-get install apache2 lightsquid

Настраиваем Apache

Приводим файл /etc/apache2/conf-available/lightsquid.conf в такой вид (доступ на просмотр даем всем):

Alias   /lightsquid/    /usr/lib/cgi-bin/lightsquid/

<Location "/lightsquid/">
        Options +ExecCGI
        Require local
        Require ip 192.168.1.0/24
</Location>

Раскомментируем строку 219 в файле /etc/apache2/mods-enabled/mime.conf

AddHandler cgi-script .cgi .pl

Запускаем все это дело:

# a2enmod cgi
# a2enconf lightsquid
# service apache2 restart

Настраиваем LightSquid

#contributor: esl
#specialy for squid with turned on user authentication
#simple version

use strict;
use warnings;
use Net::LDAP;
use Encode;

my $ldap;
my $message;
my %hDisplayName;

sub StartIp2Name() {
        my $server = "ldap://dc.mydomain.ru";
        $ldap = Net::LDAP->new( $server );
        return if(!defined $ldap);
        $message = $ldap->bind(q(MYDOMAIN.RU\LightSquid), password => "PASSWORD");
}

sub Ip2Name($$$) {
  # $Lhost,$user,$Ltimestamp
  my $Lhost=shift;
  my $user =shift;
  $user    =URLDecode($user); #decode user name
  return $Lhost if ($user eq "-");
  return $user if (!defined $ldap);
  return $user if ($message->code());

  if (!defined $hDisplayName{$user})
  {
    my $result = $ldap->search(
    base        => "dc=MYDOMAIN,dc=RU",
    filter      => "(&(objectCategory=person)(objectClass=user)(sAMAccountName=" . $user . "))",
    );

my $first_entry = $result->entry(0);
if (!defined $first_entry)
  {
    return $Lhost;
  }

my $pure_displayName = $first_entry->get_value("displayName");
$pure_displayName =~ s/ /_/g;
Encode::from_to($pure_displayName, 'utf-8', 'windows-1251');

  $hDisplayName{$user}=$pure_displayName;
  }

  return $hDisplayName{$user};
}

sub StopIp2Name() {
        return if (!defined $ldap);
        $message = $ldap->unbind;
}

#warning !!!
1;

В этом файле исправляем нижеуказанные строки на свои:

...
        my $server = "ldap://dc.mydomain.ru";
...
        $message = $ldap->bind(q(MYDOMAIN.RU\LightSquid), password => "PASSWORD");
...
    base        => "dc=MYDOMAIN,dc=RU",
...

Теперь в /etc/lightsquid/lightsquid.cfg включаем преобразование логина в ФИО:

$ip2name="squidauth"

Запускаем /usr/share/lightsquid/check-setup.pl и если все хорошо, можно запускать /usr/share/lightsquid/lightparser.pl

В папке /var/lib/lightsquid/report должны появиться отчеты, которые можно поглядеть по адресу: http://192.168.1.1/lightsquid/

squid, AC, active directory, kerberos, krb, прокси, сквид, авторизация, домен, lightsquid, статистика

Squid, SAMS, Rejik - прокси для домена

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

Squid, SAMS, Rejik - прокси для домена

Ubunto 10.4.3 LTS х64

Используемое ПО:

Squid - прокси-сервер
SAMS - управление пользователями и настройкаим
Rejik - блокировка сайтов

SQUID

$ sudo apt-get install squid libpcre3 libpcre3-dev

Если планируем работать через LDAP - ставим еще и вот эти пакеты:

$ sudo apt-get install ldap-utils php5-ldap

SAMS

Устанавливаем

Берем с http://code.google.com/p/sams2/

Скачиваем последнюю версию SAMS (На настоящий момент версия 1.0.5), для i386 архитектуры процессора выполним это:

$ mkdir /usr/src/sams
$ cd /usr/src/sams
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/i386/sams_1.0.5_i386.deb
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/all/sams-doc_1.0.5_all.deb
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/all/sams-web_1.0.5_all.deb
$ sudo dpkg -i sams_1.0.5_i386.deb

Если у Вас 64bit система выполняем это:

$ mkdir /usr/src/sams
$ cd /usr/src/sams
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/amd64/sams_1.0.5_amd64.deb
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/all/sams-doc_1.0.5_all.deb
$ wget http://www.nixdev.net/release/sams/packages/xUbuntu_9.10/all/sams-web_1.0.5_all.deb
$ sudo dpkg -i sams_1.0.5_amd64.deb

Редактируем /etc/init.d/sams

Изменяем значение

SAMS_ENABLE=true

Устанавливаем документацию и веб-интерфейс:

$ sudo dpkg -i sams-doc_1.0.5_all.deb
$ sudo dpkg -i sams-web_1.0.5_all.deb

Создание базы данных

Для работы SAMS нам необходимо создать пользователя sams в базе данных MySQL:

$ mysql -u root -p

GRANT ALL ON squidctrl.* TO sams@localhost IDENTIFIED BY "yourpassword";
GRANT ALL ON squidlog.* TO sams@localhost IDENTIFIED BY "yourpassword";

Где yourpassword – пароль root для MySQL.

Настраиваем

Текущая версия SAMS умеет работать с PHP в режиме safe_mode=On. Но это требует дополнительной настроек. Для этого отредактируем файл /etc/php5/apache2/php.ini Включаем режим safe_mode.

safe_mode = On

SAMS для некоторых функций WEB интерфейса использует системные команды, например wbinfo. В режиме safe_mode php блокирует доступ к системным командам. PHP позволяет выполнять системные команды, расположенные в каталоге, заданном параметром safe_mode_exec_dir. Поэтому изменяем этот параметр:

safe_mode_exec_dir = “/usr/share/sams/bin”

Далее разрешаем исполнение системных скриптов из кода PHP. Ищем в файле конфигурации параметр и убираем из него запрет вызова функций phpinfo system shell_exec exec:

disable_functions = “chdir,dl,ini_get_all,popen,proc_open,passthru,pcntl_exec”

В файле /etc/sams.conf правим имя пользователя в строке:

MYSQLUSER=sams
MYSQLPASSWORD=yourpasswd

Sams - пользователь MySQL, от имени которого будет работать, а yourpasswd - пароль пользователя в MySQL:

Создание баз в MySQL для пользователя SAMS

Переходим в каталог /usr/src/sams-1.0.5/mysql/:

$ cd /usr/share/sams/mysql
$ mysql -u root -p < sams_db.sql
$ mysql -u root -p < squid_db.sql

Настройка SQUID

Редактируем /etc/squid/squid.conf

Ни в коем случае не менять структуру файла и не удалять комментарии.

Указываем порт который будет слушать/обслуживать наш прокси:

http_port 3128

Включаем кэш:

cache_dir ufs /var/spool/squid 100 16 256

А также, раскоментировать другие опции работы с кэшем:

access_log /var/log/squid/access.log

pid_filename /var/run/squid.pid

Подводные камни

Для установленной версии php5 и сервера MySQL-5.1 в WEB интерфейсе будут проблемы с настройками. Необходимо сделать это.

Редактируем /usr/share/sams/src/webconfigtray.php

/* function GetHostName()
* {
* if (!($value=getenv('SERVER_NAME')))
* {   $value="N.A.";  }
* return($value);
*}
*/

В файле /usr/share/sams/src/configtray.php закоментировать таким образом следующие строчки.

/* function GetHostName()
* {
* if (!($value=getenv('SERVER_NAME')))
* {   $value="N.A.";  }
* return($value);
*}
*/

Авторизация через LDAP

Взято отсюда: http://sams.perm.ru/doc/ru/adldap.html

Для того, чтобы система могла авторизоваться в AD необходимо в файле /etc/sams.conf настроить поддержку AD:

LDAPSERVER=activedirectoryserver - имя или ip адрес сервера AD
LDAPBASEDN=domain.name - домен, поддерживаемый AD.
LDAPUSER=username - пользователь, входящий в группу AD администраторов домена (Domain Administrator), от имени которого SAMS будет работать с AD
LDAPUSERPASSWD=passwd - пароль пользователя
LDAPUSERSGROUP=Users - группа, содержащая пользователей в AD (обычно это Users)

Проверка функционирования доступа к AD

Для настройки авторизации пользователей в AD необходимо в дереве настроек WEB интерфейса SAMS выбрать пункт «Администрирование SAMS», далее в нижнем фрейме нажать кнопку «Настройки SAMS». В открывшемся диалоге выбираем способ авторизации пользователей «Active Directory». Далее нажимаем кнопку «Тестировать ответ PDC». В открывшемся окне будет выведен список пользователей, зарегистрированных в AD.

Если список пользователей не выведен, то проверьте настройки доступа к ldap в sams.conf, проверьте, является ли пользователь, от имени которого вы запрашиваете информацию в AD членом группы администраторов домена.

Далее запускаем хелпер и проверяем как он авторизует пользовател в AD:

$ /usr/lib/squid/ldap_auth -u cn -b "cn=Users,dc=your,dc=domain" activedirectoryserver

далее вводим:

имяпользователя пароль (через пробел)

и смотрим, что выдает хелпер:

OK - авторизация пользователя в AD прошла успешно, ERR - ошибка авторизации пользователя в AD

Если вы получили ошибку авторизации - читаем man ldap_auth и документацию по авторизации squid в AD в интернете. Есть различные способы настроить авторизацию пользователей SQUID в AD, всех их здесь я приводить небуду.

Конфигурируем SQUID на работу с авторизацией в Ad

В файл /etc/squid/squid.conf добавляем строки:

К сожалению, мне удалось осуществить при помощи хелпера squid_ldap_auth только basic авторизацию. Это означает, что броузер, при первом запросе пользователя, всегда запращивает login и пароль.

auth_param basic program /usr/lib/squid/ldap_auth -u cn -b "cn=Users,dc=your,dc=domain" activedirectoryserver
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours

Настраиваем SAMS

Идем в секцию WEB interface settings (значок инструменты)

Выставляем язык: russian utf-8
Показывать графики в отчетах *
Создавать PDF отчеты с помощью fpdf (если это нужно, требуется установить пакет php-fpdf)
Остальные фукции выставляете по вкусу, и по документации, благо она на русском, поэтому проблем не возникнет.

Идем в секцию Администрирование SAMS:

Уровень детализации записей в журнале - 1
Выбираем домен (по умолчанию WORKGROUP)
В настройках авторизации выставляем – IP
Обязательно ставим галочку – «Обрабатывать логи squid» и выставляем интересующий нас промежуток
Не использовать редиректор (при настройке Режика чуть ниже изменим эту настройку)
Включаем ограничение скорости пользователей
И выставляем промежуток времени для хранение отчетов о посещенных ресурсах по своему усмотрению

ВАЖНО!!! Вместо http://IP/sams/icon/classic/blank.gif писать в обоих строчках http://localhost/sams/icon/classic/blank.gif). Не забудьте поставить галочку «Обрабатывать логи SQUID», иначе статистика не будет собираться. Сохраняемся.

Переходим SAMS → «Шаблоны пользователей»: Удаляем все существующие группы пользователей и шаблоны пользователей.

Теперь добавляем пользователей: SAMS → «Пользователи», нажимаем внизу «Загрузить всех пользователей домена Active Directory» или «Добавить пользователя». Тут главное - не забыть поставить галочку «Пользователь активен». И потом сохраняем изменения: SAMS → SQUID → «Реконфигурировать SQUID».

Rejik

Ставим из РРА

Есть вариант поставить пакет из PPA - это лучше и проще чем собирать из исходников. И система чище будет.

$ sudo apt-add-repository ppa:infra-it.ru/updates
$ sudo apt-get update
$ sudo apt-get install rejik

Собираем пакет из исходников

Если хочется поставить из исходников, делаем по описанию.

Загружаем файлы

$ mkdir /usr/src/rejik
$ cd /usr/src/rejik
$ wget http://rejik.ru/download/redirector-3.2.8.tgz
$ wget http://rejik.ru/download/squid-like-www-ru.tgz
$ wget http://www.rejik.ru/download/banlists-2.x.x.tgz

Распаковываем

$ tar xvf redirector-3.2.8.tgz
$ tar xvf squid-like-www-ru.tgz
$ tar xvf banlists-2.x.x.tgz

Компилируем

Перед началом компиляции необходимо внести изменения в файл Makefile:

Папка, где будет находиться наш rejik. В Ubuntu принято, что все рабочие файлы лежат в /usr/lib, поэтому меняем

INSTALL_PATH=/usr/local/rejik3

на

INSTALL_PATH=/usr/lib/rejik

Теперь изменяем

SQUID_USER=nobody
SQUID_GROUP=nogroup

на пользователя, от имени которого работает Squid. Это можно посмотреть так:

$ cat /etc/squid/squid.conf | grep cache_effective
cache_effective_user proxy
cache_effective_group proxy

В Debian/Ubuntu это пользователь proxy:proxy

Итак, все должно выглядеть как:

SQUID_USER=proxy
SQUID_GROUP=proxy

Все, пора компилировать.

$ make
$ sudo make install

Копируем файлы

Для работы rejik требует файлы бан-листов. Если их не будет - rejik упадет.

$ sudo cp banlists /usr/lib/rejik
$ sudo chown -R proxy:proxy /usr/lib/rejik

Настраиваем файл конфигурации rejik

Если ставим из пакета - файл конфигурации лежит в /etc/rejik, если самостоятельно - то по указанному пути, в моем случае это /usr/lib/rejik

Создаем файл конфигурации:

$ cp redirector.conf.dist redirector.conf

Логи работы я хочу хранить вместе с логами Squid - так удобнее.

error_log /var/log/squid/redirector.err
change_log /var/log/squid/redirector.log

Создаю пустые файлы для логов и даю на них правильные права:

$ cd /var/log/squid
$ sudo touch redirector.log redirector.err
$ sudo chown proxy:proxy redirector.log redirector.err

Если нужны какие-то еще настройки - делаем их.

Проверяем работу

$ cd /usr/lib/rejik/tools/
$ ./check_redirector

Если появилась надпись

http://127.0.0.1/ban/porno.html 127.0.0.1/- - GET

значит все хорошо работает.

Если не работает - проверяем папки и права на них, как правило это помогает.

Подключаем rejik к Squid

Добавляем в /etc/squid/squid.conf

url_rewrite_program /usr/lib/rejik/redirector /usr/lib/rejik/redirector.conf

Настраиваем SAMS

SAMS → Администрирование SAMS → Настройка SAMS

Редиректор: Rejik

SAMS → SQUID → Реконфигурирование SQUID → Реконфигурировать

Запускаем сервисы

$ sudo service squid start
$ sudo service sams start

И проверяем логи - все ли у нас запустилось и все ли заработало.

squid, sams, rejik, самс, режик, настройка, прокси

SqStat - мониторинг пользовательской активности Squid

anonymous@undisclosed.example.com (Anonymous) — Tue, 09 May 2017 15:34:00 +0000

SqStat - мониторинг пользовательской активности Squid

SqStat осуществляет мониторинг пользовательской активности в Squid, работает по протоколу cachemgr

Версии ПО на момент написания заметки:

sqstat: 1.20
squid: 3.3.8

Установка

Качаем тут: http://samm.kiev.ua/sqstat/

Разворачиваем в папку веб-сервера

Настройка

Если стоит Apache - не забываем установить поддержку PHP

# apt-get install libapache2-mod-php5

Правим конфиг Apache /etc/apache2/sites-enabled/000-default.conf:

<Directory "/var/www/sqstat">
    DirectoryIndex sqstat.php
    order deny,allow
    allow from 192.168.0.1/24
</Directory>

Настраиваем Squid:

Вносим дополнения в squid.conf

acl manager proto cache_object
acl webserver src 192.168.0.1
http_access allow webserver manager

Настраиваем SqStat, файл /sqstat/config.inc.php:

$squidhost[0]="192.168.0.1";
$squidport[0]=3128;
$cachemgr_passwd[0]="";
$resolveip[0]=true;

Траблшутинг

Взято отсюда: http://kidun.ru/index.php/component/content/article?id=165

После обновления Squid до версии 3.2 внезапно перестал работать мониторинг пользовательской активности SqStat. Несмотря на то, что в конфигурации прописан корректно доступ к списку manager, sqstat упорно не видел ответа от сервиса Squid, выдавая следующую ошибку:

SqStat error
Error (1): Cannot get data. Server answered: HTTP/1.1 200 OK

Требуется наложения патча. Что он делает:

Меняет HTTP/1.0 на HTTP/1.1
Изменяет формат получаемых данных
Время отображается в 24-х часовом формате
Отображает скорость в Kb/s

107c107
<               if($raw[0]!="HTTP/1.0 200 OK"){
---
>               if($raw[0]!="HTTP/1.1 200 OK"){
131,132c131,132
<                                       if(substr($v,0,5)=="peer:") $parsed["con"][$connection]["peer"]=substr($v,6);
<                                       if(substr($v,0,3)=="me:") $parsed["con"][$connection]["me"]=substr($v,4);
---
>                                       if(substr($v,0,7)=="remote:") $parsed["con"][$connection]["remote"]=substr($v,8);
>                                       if(substr($v,0,6)=="local:") $parsed["con"][$connection]["local"]=substr($v,7);
178c178
<                       $ip=substr($v["peer"],0,strpos($v["peer"],":"));
---
>                       $ip=substr($v["remote"],0,strpos($v["remote"],":"));
189c189
<                               $ip=ip2long(substr($v["peer"],0,strpos($v["peer"],":")));
---
>                               $ip=ip2long(substr($v["remote"],0,strpos($v["remote"],":")));
209c209
<               'Auto refresh: <input name="refresh" type="text" size="4" value="'.$refresh.'"/> sec. <input type="submit" value="Update"/> <input name="stop" type="submit" value="Stop"/> Created at: <tt>'.date("h:i:s d/m/Y").'</tt><br/>'.
---
>               'Auto refresh: <input name="refresh" type="text" size="4" value="'.$refresh.'"/> sec. <input type="submit" value="Update"/> <input name="stop" type="submit" value="Stop"/> Created at: <tt>'.date("H:i:s d/m/Y").'</tt><br/>'.
253c253
<                                                       $curr_speed = ($con['bytes'] - $was_size) / 1024 / $delta;
---
>                                                       $curr_speed = ($con['bytes'] - $was_size) / 1024*8 / $delta;
256c256
<                                               $curr_speed = $con['bytes'] / 1024;
---
>                                               $curr_speed = $con['bytes'] / 1024*8;
260c260
<                                       $avg_speed = $con['bytes'] / 1024;
---
>                                       $avg_speed = $con['bytes'] / 1024*8;

Скачать файлом: sqstat_squid_3.3.8.patch

Применить патч:

# patch sqstat.class.php sqstat_squid_3.3.8.patch

squid, sqstat, patch, monitoring