Authentification ldap dans squid

Support Debian
#1

Bonjour à tous.
Je souhaite remettre au gout du jour le proxy de ma boite qui était anciennement une Debian 5.0.7. installée sur une machine physique.
Je viens donc d’installer mon proxy squid sur une debian 6.0.5, fraichement installée sur une machine virtuelle.
A cela j’y ai rajouté plusieurs package dont Sarg, samba, squidguard, windbind, krb5-user…etc.
Étant un peu fainéant, j’ai repris la plupart de mes anciens fichiers de conf (squid.conf, squidGuard.conf, smb.conf…etc).
Cependant j’aimerais apporter une nouveauté par rapport à mon ancienne installe.
Je souhaiterais qu’au lieu d’afficher des adresses ip dans mes rapports sarg, s’affiche les noms des utilisateurs.
Pour ce faire, je me suis principalement inspiré de ce tuto (qui me parait très bon!):
http://irp.nain-t.net/doku.php/220squid:040_ntlm
L’intégration au domaine semble bien s’être déroulée puisque lorsque je tape les commandeswbinfo -u et wbinfo -g j’obtiens bien les résultats demandés à savoir l’affichage des groupes et utilisateurs de l’AD.
Je modifie ensuite mon squid.conf pour lui préciser que j’attends de mes utilisateurs qu’ils soient authentifiés pour aller sur Internet (tjr selon le même tuto).
Mais après un redémarrage de mes services concernés, le fichier “access.log” laisse toujours apparaitre l’adresse ip et non pas le nom d’utilisateur.
J’ai beau tout revérifier, je sèche un peu.
Ci-dessous mon squid.conf.
Par avance, merci pour l’aide apportée.

[code]auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm keep_alive on
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.0.0/16 # RFC1918 possible internal network
acl SSL_ports port 443 # https
acl SSL_ports port 563 # snews
acl SSL_ports port 873 # rsync
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT

acl password proxy_auth REQUIRED

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl from_av myport 8088
http_access deny from_av
redirector_access deny from_av
always_direct allow from_av
acl reseaulocal src 192.168.1.0/24
http_access allow reseaulocal
acl Scan_HTTP proto HTTP
http_access allow localhost

http_access allow LocalNet password

http_access deny all
icp_access allow localnet
icp_access deny all
http_port 3128 transparent
http_port 8088
hierarchy_stoplist cgi-bin ?
cache_dir ufs /home/squid 1000 16 256
access_log /var/log/squid/access.log squid
url_rewrite_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf
url_rewrite_children 20
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|?) 0 0% 0
refresh_pattern (Release|Package(.gz)*)$ 0 20% 2880
refresh_pattern . 0 20% 4320
acl shoutcast rep_header X-HTTP09-First-Line ^ICY\s[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
icp_port 0
htcp_port 0
hosts_file /etc/hosts
coredump_dir /var/spool/squid
[/code]

#2

ton proxy est configuré en transparent si tu veut qu’il soit authentifiant il faut que tu reffase ta config et notamment la ligne http_port

#3

Merci pour ta réponse XPS.
En effet mon proxy est en transparent parce que justement je souhaite que ce soit le plus transparent possible pour mes utilisateurs :mrgreen: !
Je me suis mal exprimé, je reformule.
Je ne souhaite pas redemander un mot de passe aux utilisateurs lorsqu’ils souhaitent naviguer (en tout cas pas si ils sont déjà authentifiés sur le domaine), je souhaite simplement savoir qui a été sur quel site. Or avec l’ancien proxy les adresses ip ne nous apportaient pas grand chose puisqu’elles étaient distribuées automatiquement et donc aléatoirement.
Mon objectif final est donc simplement de faire apparaitre un nom d’utilisateur plutôt qu’une adresse ip dans mon access.log pour ensuite le retranscrire dans Sarg. J’ai cru comprendre que c’était possible?
J’espère avoir été plus clair, en tout cas merci pour l’aide apportée.

#4

a d’accord je comprend mieux. la comme ca je ne voit pas mais je vais regarder un peu si je trouve quelque chose!

#5

j’ai beau y réfléchir je ne voit pas comment cela peut se faire car vu que ton proxy est transparent squid ne s’occupe aucunement de l’utilisateur (si je ne troll pas…) qui utilise la machine.
Après pourquoi ne pas faire carrément un proxy authentifiant qui répondra plus à ton problème même si t’est utilisateur doivent se loguer une 2ème fois il n’y à pas mort d’homme^^

je ne sait vraiment pas si c’est possible à faire… mais je suis loin de tout connaître des proxy.

#6

Pour ceux que ca intéresse voici la solution:
Dans mon squid.conf il me manquait la ligne:

De base elle n’apparait pas car elle fait implicitement partie de la conf par défaut.
J’ai donc rajouté celle ligne en modifiant juste un paramètre pour avoir le nom d’utilisateur du domaine plutot que l’adresse ip.
Au final ca donne ca:

XPS, merci de t’être intéressé à mon problème :wink:

#7

merci de l’info c’est très intéressant pour moi je savait pas que c’était possible et sa peut m’être très utile!! :041