Squid代理的用户认证（基本认证、集成Windows域认证）

Squid代理的用户认证（基本认证、集成Windows域认证）
 
2012-07-02  TsengYia#126.com

 

    关于Squid代理服务的用户验证，本文简要介绍了两种方法的实现：basic基本认证、ntlm域认证。
    basic认证采用账户数据文件的方式，能够对代理访问做简单的登录验证，从而实现用户控制。而ntlm认证依赖于已有的Windows域环境，Squid服务器本身需要加入域，而客户机只要以域用户登录，即自动通过代理验证，从而省去了域环境中客户机的反复验证过程，提高了代理访问的易用性。
 
############################################################################## 
 
系统环境： 
    Squid代理服务器（RHEL 6.2）——
        主机名：proxy.example.com
        IP地址：192.168.4.6/24
        主要软件包：squid-3.1.10-1.el6_1.1.i686、samba-winbind-3.5.10-114.el6.i686、samba-common-3.5.10-114.el6.i686

 

    域控制器（Win2008 R2）——
        主机名：w2k8.example.com
        IP地址：192.168.4.2/24
        主要软件包：Active Directory域服务

 

    测试用Web服务器（RHEL 5.5）——
        主机名：www.example.com
        IP地址：192.168.4.105/24
        主要软件包：httpd-2.2.3-43.el5

 

    测试用客户机（WinXP或Win7）——
        主机名：station110.example.com
        IP地址：192.168.4.110/24
        主要软件包：Internet Explorer 8.0
 
############################################################################## 
 
一、方式1：使用基本认证

 

1. 准备账户数据文件
    使用httpd提供的htpasswd工具,-c表示建库，首次添加用户时使用，省略-c时可用来改密码
[root@localhost ~]# htpasswd -c /etc/squid/passwd tsengyia
New password:
Re-type new password:
Adding password for user tsengyia

 

2. 调整squid.conf配置文件
[root@localhost ~]# vim /etc/squid/squid.conf   //参考 man cgconfig.conf
... ...
http_port 3128
hierarchy_stoplist cgi-bin ?
cache_dir ufs /var/spool/squid 200 16 256
cache_mem 128 MB
coredump_dir /var/spool/squid
visible_hostname proxy.example.com
####
auth_param basic program /usr/lib64/squid/ncsa_auth /etc/squid/passwd
auth_param basic children 10      # 基本认证程序的子进程数
auth_param basic credentialsttl 2 hours    # 每次认证的TTL值
auth_param basic realm Squid Cache Server  # 认证领域字串，登录窗口中会显示
acl auth_user proxy_auth REQUIRED     # 将通过代理认证的用户定义为一个ACL
http_access allow auth_user      # 允许此ACL使用代理服务
acl all src 0.0.0.0/0.0.0.0
http_access deny all       # 默认策略设为拒绝
####
[root@localhost ~]# service squid restart

 

3. 在客户机中测试代理访问
    为IE浏览器配置代理，并访问测试用Web服务器，将会弹出认证登录框。
    必须验证成功（使用/etc/squid/passwd中的账户）方可正常访问网页，否则将提示被拒绝。

 

 

二、方式2：与Windows域集成认证

 

1. 将Squid服务器加入Windows域
    详见另篇《将Linux主机加入Windows域》：

 

2. 调整squid.conf配置文件

[root@localhost ~]# vim /etc/squid/squid.conf   //参考 man cgconfig.conf
... ...
####
auth_param ntlm program /usr/bin/ntlm_auth  --helper-protocol=squid-2.5-ntlmssp   //指定ntlm认证程序、使用的协议
auth_param ntlm children 10      //ntlm认证程序的子进程数
auth_param basic program /usr/bin/ntlm_auth  --helper-protocol=squid-2.5-basic   //替换基本认证程序
auth_param basic children 10      //基本认证程序的子进程数
auth_param basic credentialsttl 2 hours    //每次认证的TTL值
auth_param basic realm Squid Cache Server    //认证领域字串，登录窗口中会显示
acl DomainUsers proxy_auth REQUIRED     //将通过ntlm域认证的用户定义为一个ACL
http_access allow DomainUsers      //允许此ACL使用代理服务
acl all src 0.0.0.0/0.0.0.0
http_access deny all       //默认策略设为拒绝
####
[root@localhost ~]# service squid restart

 

3. 调整winbind服务的Socket目录权限
1）查看原有权限
    默认情况下，Squid服务对winbindd_privileged目录不具有访问权限：
[root@localhost ~]# ls -ld /var/lib/samba/winbindd_privileged/
drwxr-x---   2 root wbpriv 4096 7月  3  11:18  /var/lib/samba/winbindd_privileged/

    这可能会导致代理验证失败，日志消息类似如下：
[root@localhost ~]# tail /var/log/messages
... ...
Jul 2 11:35:27 proxy (ntlm_auth):  Login for user [example]\[tsengyia]@station110] failed due to [winbind client not authorized to use winbindd_pam_auth_crap. Ensure

permissions on /var/lib/samba/winbindd_privileged are set correctly.]
Jul 2 11:35:27 proxy (ntlm_auth):  [2012/07/02  11:35:27.365870, 0] utils/ntlm_auth.c:896(manage_squid_ntlmssp_request_int)
Jul 2 11:35:27 proxy (ntlm_auth):  NTLMSSP BH: NT_STATUS_ACCESS_DENIED

 

2）添加新的权限，允许squid程序访问
    建议不要使用chown、chmod来修改目录的基本属性和权限，否则可能导致winbind服务无法启动。
    这里采用setfacl工具来为squid服务程序的运行用户（squid）添加访问权限。
[root@localhost ~]# setfacl -m user:squid:r-x /var/lib/samba/winbindd_privileged/
[root@localhost ~]# service squid reload

 

4. 在客户机中测试代理访问
    为IE浏览器配置代理，并进行访问测试。
1）以域用户登录时
    若访问测试用Web站点（192.168.4.105），无需再次验证（已经通过域认证）；
    在测试用Web服务器上，可以看到来自Squid代理服务器的访问记录。
2）未以域用户登录时
    若访问测试用Web站点（192.168.4.105），浏览器会弹出登录框，必须以域用户验证后才能访问；
    在测试用Web服务器上，同样可以看到来自Squid代理服务器的访问记录。
 
##############################################################################