[RESOLU] Authentification ldap dans squid

[Jang]

Bonjour à tous,

Contexte :
Je souhaite remettre au gout du jour le proxy de ma boite qui était anciennement une Debian 5.0.7. installée sur une machine physique.
Je viens donc d'installer mon proxy squid sur une debian 6.0.5, fraichement installée sur une machine virtuelle.
A cela j'y ai rajouté plusieurs package dont Sarg, samba, squidguard, windbind, krb5-user...etc.
Étant un peu fainéant, j'ai repris la plupart de mes anciens fichiers de conf (squid.conf, squidGuard.conf, smb.conf...etc).

Besoin :
Cependant j'aimerais apporter une nouveauté par rapport à mon ancienne installe.
Je souhaiterais qu'au lieu d'afficher des adresses ip dans mes rapports sarg, s'affiche les noms des utilisateurs du domaine Windows.
Pour y arriver, je me suis principalement inspiré de ce tuto (qui me parait très bon!):
http://irp.nain-t.net/doku.php/220squid:040_ntlm
L'intégration au domaine semble bien s'être déroulée puisque lorsque je tape les commandes

Code : Tout sélectionner

wbinfo -u

et

Code : Tout sélectionner

wbinfo -g

j'obtiens bien les résultats demandés à savoir l'affichage des groupes et utilisateurs de l'AD.

J'ai ensuite modifié mon squid.conf (tjr selon le même tuto), redémarré les services concernés par les modifs...

Adressages :

192.168.1.x/24

Question :

Le fichier "access.log" laisse toujours apparaitre l'adresse ip et pas le nom d'utilisateur.
Je souhaite que tout soit le plus transparent possible. Je ne veux pas imposer à mes utilisateurs d'enter un mot de passe pour naviguer. Ou alors uniquement aux "visiteurs" qui n'ont pas de compte dans l'AD.
Si quelqu'un à une piste à me fournir, je suis preneur!

Pistes imaginées :

Dans la mesure où la commande

Code : Tout sélectionner

wbinfo -u

me confirme que mon "lien" à l'AD fonctionne, le problème doit certainement venir du squid.conf... enfin j'imagine.

Recherches :

Le tuto cité plus haut et Google!

Logs et tests :

Mon squid.conf:

Code : Tout sélectionner

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
acl localnet src 10.0.0.0/8     # RFC1918 possible internal network
acl localnet src 172.16.0.0/12  # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl SSL_ports port 443          # https
acl SSL_ports port 563          # snews
acl SSL_ports port 873          # rsync
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl Safe_ports port 631         # cups
acl Safe_ports port 873         # rsync
acl Safe_ports port 901         # SWAT
acl purge method PURGE
acl CONNECT method CONNECT

acl password proxy_auth REQUIRED

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl from_av myport 8088
http_access deny from_av
redirector_access deny from_av
always_direct allow from_av
acl reseaulocal src 192.168.1.0/24
http_access allow reseaulocal
acl Scan_HTTP proto HTTP
http_access allow localhost

http_access allow LocalNet password

http_access deny all
icp_access allow localnet
icp_access deny all
http_port 3128 transparent
http_port 8088
hierarchy_stoplist cgi-bin ?
cache_dir ufs /home/squid 1000 16 256
access_log /var/log/squid/access.log squid
url_rewrite_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf
url_rewrite_children 20
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern (Release|Package(.gz)*)$        0       20%     2880
refresh_pattern .               0       20%     4320
acl shoutcast rep_header X-HTTP09-First-Line ^ICY\s[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
icp_port 0
htcp_port 0
hosts_file /etc/hosts
coredump_dir /var/spool/squid

[Franck78]

C'est toujours chagrinant de voir un sujet bien posé rester sans réponse.

Mais je ne vois pas de logformat correspondant a ton besoin dans ton squid.conf

Code : Tout sélectionner

logformat <name> <format specification>
Access Control related format codes:

      et   Tag returned by external acl
      ea   Log string returned by external acl
      un   User name (any available)
      ul   User name from authentication
      ue   User name from external acl helper
      ui   User name from ident
      us   User name from SSL


[Jang]

Franck78,
Je te remercie beaucoup! il me manquait effectivement la ligne:

Code : Tout sélectionner

logformat squid %ts.%03tu %6tr %>A %Ss/%03Hs %<st %rm %ru %un %Sh/%<A %mt

C'était tout bête mais je ne connaissais pas ce paramètre,
Merci pour l'aide apportée.

[jdh]

Bravo à Franck78 pour le logformat semble-t-il !

Bravo à Jang pour avoir (très) bien rédigé son premier post, et bienvenue à lui sur PhenIxus !


(Bon, certes, il se trouve que je connais physiquement les 2 membres, et notamment, j'ai travaillé avec l'un pendant 3 ans !)

Pour ceux qui analyserait le squid.conf, ils noteront que
- l'addons SquidGuard est installé ... pour le filtrage à l'aide de blacklists
- c'est Squid 3.1 qui a été choisi (puisque la syntaxe du lien avec SquidGuard n'est pas la même qu'en version 2.7 !)
- il y a une analyse antivirale qui intervient (HAVP sans doute).

Sur le dernier point, une bonne config serait :
Lan -> Squid -> HAVP -> Squid -> Internet
Dans cette config, Squid écoute sur 2 ports et HAVP se place au milieu, le tout sur le même proxy.
Cela exige juste un peu plus de mémoire, mais cela permet que Squid reste proxy pour http, https et ftp.
Ce qui n'est pas le cas pour ftp si il n'y a que Squid + HAVP.