forum.opennet.ru

Форум Разговоры, обсуждение новостей
Вариант для распечатки		Пред. тема \| След. тема
Режим отображения отдельной подветви беседы		[ Отслеживать ]

Оглавление

OpenNews: Настройка squid с авторизацией в Active Directory, opennews (??), 06-Ноя-07, (0) [смотреть все]

Сквид помоему самый документированный проект в мире D, exn (??), 21:25 , 06-Ноя-07, (1) +1
зачем сквиду райд он прекрасно сам пользует отдельные диски , Аноним (2), 21:58 , 06-Ноя-07, (2)
Зачем пользователю вообще интернет с такими политиками доступа в глобальную сеть, helloworld (?), 22:27 , 06-Ноя-07, (3)
Вапросы 1 При добавлении или удалении пользователя из группы, необходимо сделат, sash (??), 22:55 , 06-Ноя-07, (4) //

Может быть ssp все таки лучше чем ldap Вопрос в общем стремный - настраиваю кер, deepwalker (ok), 06:03 , 07-Ноя-07, (6) //

Может вам и jabber удалось победить , geekkoo (??), 07:41 , 07-Ноя-07, (10) //

а с этим какие-то проблемы гораздо интереснее было бы прикрутить керберос к thun, fank (?), 15:46 , 08-Ноя-07, (23)

У джаббера проблемы с клиентами К примеру tkabber интерпретирует доменное имя в, geekkoo (ok), 16:06 , 08-Ноя-07, (24)

gt оверквотинг удален да, оказывается в последний раз когда копался в ejabberd, fank (?), 17:54 , 08-Ноя-07, (25)

gt оверквотинг удален Про сквид не знаю Я пытался разобраться в их помойке мо, geekkoo (ok), 18:35 , 08-Ноя-07, (27)

Посмотрите на последние релизы squid - там уже все есть , deepwalker (ok), 14:10 , 14-Ноя-07, (30)

gt оверквотинг удален УРА https bugzilla mozilla org show_bug cgi id 32539, fank (?), 18:02 , 08-Ноя-07, (26)

LDAP - это информационно-справочная служба, а не протокол удаленной аутентификац, geekkoo (??), 07:36 , 07-Ноя-07, (9)

man 8 winbindd -n Disable caching This means winbindd will always have to , Николай Попов (?), 02:13 , 07-Ноя-07, (5) //

Безусловно Только некошерно как-по-мне выключать кеширование насовсем Вот , sash (??), 18:25 , 07-Ноя-07, (15)

Может лучше неавторизованных товарищей авторизовывать еще и по маку , Ne01eX (??), 06:47 , 07-Ноя-07, (7)
Есть советы, от которых вреда больше, чем пользы Зачем понадобилась настройка w, geekkoo (??), 07:30 , 07-Ноя-07, (8) //

дальше можно не читать, красноглазый заболел графоманствомхотя я дочитал, ничего, bass (??), 08:29 , 07-Ноя-07, (11) //

не скажи обсуждение довольно интересное, otaku (ok), 09:00 , 07-Ноя-07, (12)

мдя правильная операционка оказывается на рэйде с ксеонами работает для пр, Аноним (13), 09:30 , 07-Ноя-07, (13) //

старая прокся - 4 пень на 3 гигагерца Загрузка стабильно висит на 40-60 Это на 6, товарисч (?), 10:31 , 07-Ноя-07, (14) //

40 -60 на ксеоне - это ОЧЕНЬ много Может что-то у Вас не так давайте сравним д, sash (??), 18:51 , 07-Ноя-07, (16) //

А понял Старая прокся три гигагерца - это на ней загрузка 40-60 Все равно мн, sash (??), 18:58 , 07-Ноя-07, (17)

Рамы маловато, дисковая слабая, сквидгард перегруженный - туда, помоему, пихнули, товарисч (?), 01:32 , 08-Ноя-07, (18)

а кто мешает заNATить порт 5190 и все прекрасно работает в 3 сквидеа по поводу , coroner (?), 11:08 , 08-Ноя-07, (22)

Ахинея редкостная Кэш должен лежать на ram-диске И загрузки заоблачной не буде, неаноним (?), 07:54 , 08-Ноя-07, (19) //

У вас squid на сетку из трех человек, которые ходят на десяток сайтов Тогда да,, angra (ok), 08:47 , 08-Ноя-07, (20) //

150 человек, кеш на 7Гб, вполне хватает 10Мбит канал , неаноним (?), 22:11 , 08-Ноя-07, (28)

Ахинея редкостная, Fylhtq (?), 09:33 , 08-Ноя-07, (21)
Ну а если очень хорошо подумать, то даже в такой конфигурации для памяти можно н, bakake (?), 13:05 , 10-Ноя-07, (29)

Люди, подскажите мне плиз не могу никак понять что в конфиге squid отвечает за, BereZ (ok), 16:53 , 11-Окт-10, (31)

Сообщения [Сортировка по времени | RSS]

4. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от sash (??), 06-Ноя-07, 22:55

Вапросы:
1. При добавлении или удалении пользователя из группы, необходимо сделать reload скиду, потому как не подхватывает он изменения группах "на лету". Скорей всего дело в кеше. По-моему сам winbind кеширует ответы, во всяком случае вот что пишет в лог при релоаде сквида:
[2007/10/29 11:49:00, 0] nsswitch/winbindd_cache.c:initialize_winbindd_cache(2222)
initialize_winbindd_cache: clearing cache and re-creating with version number 1
как решаете? может поможет, что-то вроде "auth_param ntlm credentialsttl 2 min"?
2. cachemgr может показывать статистику использования ntml children's. Для 200 активных пользователей используются максимум только 7-мь процессов одновременно.
Почему "auth_param ntlm children 30"? Как выбрали значение 30?
3. Смысл керберос в Вашей конфигурации? Зачем самба с ads? Прекрасно работает просто ldap-авторизация в АД. (это не критика, а конкретный вопрос :) ).

Ответить | Правка | Наверх | Cообщить модератору

6. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от deepwalker (ok), 07-Ноя-07, 06:03

Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный - настраиваю керберос аутентификацию везде, где это воможно : )

Ответить | Правка | Наверх | Cообщить модератору

10. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от geekkoo (??), 07-Ноя-07, 07:41

>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный
>- настраиваю керберос аутентификацию везде, где это воможно : )
Может вам и jabber удалось победить?

Ответить | Правка | Наверх | Cообщить модератору

23. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от fank (?), 08-Ноя-07, 15:46

>>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный
>>- настраиваю керберос аутентификацию везде, где это воможно : )
>
>Может вам и jabber удалось победить?
а с этим какие-то проблемы?
гораздо интереснее было бы прикрутить керберос к thunderbird & firefox
чтобы, например, не вводить пароли для адресной книги в LDAP и для доступа в инет через сабж

Ответить | Правка | Наверх | Cообщить модератору

24. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от geekkoo (ok), 08-Ноя-07, 16:06

>>>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный
>>>- настраиваю керберос аутентификацию везде, где это воможно : )
>>
>>Может вам и jabber удалось победить?
>
>а с этим какие-то проблемы?
У джаббера проблемы с клиентами. К примеру tkabber интерпретирует доменное имя в JID как имя сервера. Т.е. имя сервера на котором крутится джаббер должно быть просто именем домена. Но в результате возникают проблемы с именами принципалов. Вот как это выглядит:
https://www.opennet.ru/openforum/vsluhforumID1/75093.html
Если вам удалось это решить, то хотелось бы узнать каким образом?
>
>гораздо интереснее было бы прикрутить керберос к thunderbird & firefox
>чтобы, например, не вводить пароли для адресной книги в LDAP и для
>доступа в инет через сабж
Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2. Так что про Kerberos там можно забыть.
Firefox настраивается правкой about:config и добавлением туда :
network.negotiate-auth.trusted-uris http://,https://
network.negotiate-auth.delegation-uris http://,https://
Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от KerberosForWindows от MIT.

Ответить | Правка | Наверх | Cообщить модератору

25. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от fank (?), 08-Ноя-07, 17:54

>[оверквотинг удален]
>
>У джаббера проблемы с клиентами. К примеру tkabber интерпретирует доменное имя в
>JID как имя сервера. Т.е. имя сервера на котором крутится джаббер
>должно быть просто именем домена. Но в результате возникают проблемы с
>именами принципалов. Вот как это выглядит:
>
>https://www.opennet.ru/openforum/vsluhforumID1/75093.html
>
>Если вам удалось это решить, то хотелось бы узнать каким образом?
>
да, оказывается в последний раз когда копался в ejabberd, делал все через ЛДАП
ну, по этой известной статейке
http://realloc.spb.ru/share/ejabberd112ad.html
так и не поборол глюк последний, когда мог авторизоваться только один единственный юзер
остальные получали отлуп...
>[оверквотинг удален]
>
>Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2.
>Так что про Kerberos там можно забыть.
>
>Firefox настраивается правкой about:config и добавлением туда :
>network.negotiate-auth.trusted-uris http://,https://
>network.negotiate-auth.delegation-uris http://,https://
>Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги
>с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от
>KerberosForWindows от MIT.
а как это организовать со стороны сквида?

Ответить | Правка | Наверх | Cообщить модератору

27. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от geekkoo (ok), 08-Ноя-07, 18:35

>[оверквотинг удален]
>>Так что про Kerberos там можно забыть.
>>
>>Firefox настраивается правкой about:config и добавлением туда :
>>network.negotiate-auth.trusted-uris http://,https://
>>network.negotiate-auth.delegation-uris http://,https://
>>Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги
>>с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от
>>KerberosForWindows от MIT.
>
>а как это организовать со стороны сквида?
Про сквид не знаю. Я пытался разобраться в их помойке модулей авторизации, но безрезультатно. В качестве простого кэширующего прокси с single-sign-on могу порекоммендовать apache.

Ответить | Правка | Наверх | Cообщить модератору

30. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от deepwalker (ok), 14-Ноя-07, 14:10

>Про сквид не знаю. Я пытался разобраться в их помойке модулей авторизации,
>но безрезультатно. В качестве простого кэширующего прокси с single-sign-on могу порекоммендовать
>apache.
Посмотрите на последние релизы squid - там уже все есть.

Ответить | Правка | Наверх | Cообщить модератору

26. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от fank (?), 08-Ноя-07, 18:02

>[оверквотинг удален]
>
>Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2.
>Так что про Kerberos там можно забыть.
>
>Firefox настраивается правкой about:config и добавлением туда :
>network.negotiate-auth.trusted-uris http://,https://
>network.negotiate-auth.delegation-uris http://,https://
>Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги
>с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от
>KerberosForWindows от MIT.
УРА!!!
https://bugzilla.mozilla.org/show_bug.cgi?id=325396
https://bugzilla.mozilla.org/show_bug.cgi?id=308118
процесс пошел...

Ответить | Правка | К родителю #24 | Наверх | Cообщить модератору

9. "OpenNews: Настройка squid с авторизацией в Active Directory" +/–

Сообщение от geekkoo (??), 07-Ноя-07, 07:36

LDAP - это информационно-справочная служба, а не протокол удаленной аутентификации в отличии от Kerberos. Во-вторых, Kerberos удобен, поскольку позволяет Single-sign-on - зарегистрировался в системе один раз, а потом с помощью полученных сертификатов получаешь доступ ко всем сетевым службам.

Ответить | Правка | К родителю #4 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема

Партнёры:

Хостинг:

Закладки на сайте
Проследить за страницей

Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру

4. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
Сообщение от sash (??), 06-Ноя-07, 22:55
Вапросы: 1. При добавлении или удалении пользователя из группы, необходимо сделать reload скиду, потому как не подхватывает он изменения группах "на лету". Скорей всего дело в кеше. По-моему сам winbind кеширует ответы, во всяком случае вот что пишет в лог при релоаде сквида: [2007/10/29 11:49:00, 0] nsswitch/winbindd_cache.c:initialize_winbindd_cache(2222) initialize_winbindd_cache: clearing cache and re-creating with version number 1 как решаете? может поможет, что-то вроде "auth_param ntlm credentialsttl 2 min"? 2. cachemgr может показывать статистику использования ntml children's. Для 200 активных пользователей используются максимум только 7-мь процессов одновременно. Почему "auth_param ntlm children 30"? Как выбрали значение 30? 3. Смысл керберос в Вашей конфигурации? Зачем самба с ads? Прекрасно работает просто ldap-авторизация в АД. (это не критика, а конкретный вопрос :) ).
Ответить \| Правка \| Наверх \| Cообщить модератору


	6. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от deepwalker (ok), 07-Ноя-07, 06:03
	Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный - настраиваю керберос аутентификацию везде, где это воможно : )
	Ответить \| Правка \| Наверх \| Cообщить модератору


	10. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от geekkoo (??), 07-Ноя-07, 07:41
	>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный >- настраиваю керберос аутентификацию везде, где это воможно : ) Может вам и jabber удалось победить?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	23. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от fank (?), 08-Ноя-07, 15:46
	>>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный >>- настраиваю керберос аутентификацию везде, где это воможно : ) > >Может вам и jabber удалось победить? а с этим какие-то проблемы? гораздо интереснее было бы прикрутить керберос к thunderbird & firefox чтобы, например, не вводить пароли для адресной книги в LDAP и для доступа в инет через сабж
	Ответить \| Правка \| Наверх \| Cообщить модератору


	24. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от geekkoo (ok), 08-Ноя-07, 16:06
	>>>Может быть ssp все таки лучше чем ldap? Вопрос в общем стремный >>>- настраиваю керберос аутентификацию везде, где это воможно : ) >> >>Может вам и jabber удалось победить? > >а с этим какие-то проблемы? У джаббера проблемы с клиентами. К примеру tkabber интерпретирует доменное имя в JID как имя сервера. Т.е. имя сервера на котором крутится джаббер должно быть просто именем домена. Но в результате возникают проблемы с именами принципалов. Вот как это выглядит: https://www.opennet.ru/openforum/vsluhforumID1/75093.html Если вам удалось это решить, то хотелось бы узнать каким образом? > >гораздо интереснее было бы прикрутить керберос к thunderbird & firefox >чтобы, например, не вводить пароли для адресной книги в LDAP и для >доступа в инет через сабж Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2. Так что про Kerberos там можно забыть. Firefox настраивается правкой about:config и добавлением туда : network.negotiate-auth.trusted-uris http://,https:// network.negotiate-auth.delegation-uris http://,https:// Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от KerberosForWindows от MIT.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	25. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от fank (?), 08-Ноя-07, 17:54
	>[оверквотинг удален] > >У джаббера проблемы с клиентами. К примеру tkabber интерпретирует доменное имя в >JID как имя сервера. Т.е. имя сервера на котором крутится джаббер >должно быть просто именем домена. Но в результате возникают проблемы с >именами принципалов. Вот как это выглядит: > >https://www.opennet.ru/openforum/vsluhforumID1/75093.html > >Если вам удалось это решить, то хотелось бы узнать каким образом? > да, оказывается в последний раз когда копался в ejabberd, делал все через ЛДАП ну, по этой известной статейке http://realloc.spb.ru/share/ejabberd112ad.html так и не поборол глюк последний, когда мог авторизоваться только один единственный юзер остальные получали отлуп... >[оверквотинг удален] > >Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2. >Так что про Kerberos там можно забыть. > >Firefox настраивается правкой about:config и добавлением туда : >network.negotiate-auth.trusted-uris http://,https:// >network.negotiate-auth.delegation-uris http://,https:// >Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги >с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от >KerberosForWindows от MIT. а как это организовать со стороны сквида?
	Ответить \| Правка \| Наверх \| Cообщить модератору


	27. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от geekkoo (ok), 08-Ноя-07, 18:35
	>[оверквотинг удален] >>Так что про Kerberos там можно забыть. >> >>Firefox настраивается правкой about:config и добавлением туда : >>network.negotiate-auth.trusted-uris http://,https:// >>network.negotiate-auth.delegation-uris http://,https:// >>Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги >>с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от >>KerberosForWindows от MIT. > >а как это организовать со стороны сквида? Про сквид не знаю. Я пытался разобраться в их помойке модулей авторизации, но безрезультатно. В качестве простого кэширующего прокси с single-sign-on могу порекоммендовать apache.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	30. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от deepwalker (ok), 14-Ноя-07, 14:10
	>Про сквид не знаю. Я пытался разобраться в их помойке модулей авторизации, >но безрезультатно. В качестве простого кэширующего прокси с single-sign-on могу порекоммендовать >apache. Посмотрите на последние релизы squid - там уже все есть.
	Ответить \| Правка \| Наверх \| Cообщить модератору


	26. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от fank (?), 08-Ноя-07, 18:02
	>[оверквотинг удален] > >Адресная книга в Thunderbird не поддерживает SASL-аутентификацию, только простую как в LDAPv2. >Так что про Kerberos там можно забыть. > >Firefox настраивается правкой about:config и добавлением туда : >network.negotiate-auth.trusted-uris http://,https:// >network.negotiate-auth.delegation-uris http://,https:// >Под Вендами это скорее всего вряд ли будет работать (у мозилловцев напряги >с вендовым sspi), но можно попробовать подсунуть туда gssapi либу от >KerberosForWindows от MIT. УРА!!! https://bugzilla.mozilla.org/show_bug.cgi?id=325396 https://bugzilla.mozilla.org/show_bug.cgi?id=308118 процесс пошел...
	Ответить \| Правка \| К родителю #24 \| Наверх \| Cообщить модератору


	9. "OpenNews: Настройка squid с авторизацией в Active Directory"	+/–
	Сообщение от geekkoo (??), 07-Ноя-07, 07:36
	LDAP - это информационно-справочная служба, а не протокол удаленной аутентификации в отличии от Kerberos. Во-вторых, Kerberos удобен, поскольку позволяет Single-sign-on - зарегистрировался в системе один раз, а потом с помощью полученных сертификатов получаешь доступ ко всем сетевым службам.
	Ответить \| Правка \| К родителю #4 \| Наверх \| Cообщить модератору