# Squid + authentication

**URL:** <https://www.debian-fr.org/t/squid-authentication/69597>\
**Category:** Support Debian\
**Created:** [Mai 13, 2016, 7:45 UTC](https://www.debian-fr.org/t/squid-authentication/69597 "2016-05-13T07:45:38Z")\
**Posts on this page:** 20\
**Page:** 1

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Mai 13, 2016, 7:45 UTC](https://www.debian-fr.org/t/squid-authentication/69597/1 "2016-05-13T07:45:39Z")

</div>

Bonjour

je souhaite monter un tutoriel afin de le partager.  
ce tutoriel expliquera l’installation de squid sous Debian avec une authentification active-directory.  
Hélas, les tutoriels que j’ai chercher ne sont pas très explicites ou expirés

J’aimerai des conseils.

---

<div class="post-metadata">

**Author:** ![Alman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/9e8a1a/32.png) [@Alman](https://www.debian-fr.org/u/Alman)\
**Post date:** [Mai 13, 2016, 10:46 UTC](https://www.debian-fr.org/t/squid-authentication/69597/2 "2016-05-13T10:46:56Z")

</div>

Bonjour,

bien volontiers pour les conseils, tu as :

- [http://www.squid-cache.org/](http://www.squid-cache.org/) (la page officielle)
- [https://doc.ubuntu-fr.org/squid](https://doc.ubuntu-fr.org/squid) (la page Ubuntu)
- [https://fr.wikipedia.org/wiki/Squid\_%28logiciel%29](https://fr.wikipedia.org/wiki/Squid_%28logiciel%29) (la page Wikipedia)  
Tu devrais également avoir la commande

`$ man squid` qui te donnera diverses options.  
L’exploration de ces documents (entre autres très certainement) ainsi que tes différents essais pour observer les résultats des changements du fichier de configuration devrait te servir de base pour rédiger ton tutoriel.

Merci pour ton dévouement: toutes les bonnes volontés sont appréciables.  
Il faudra que je mette la main à la pâte, un de ces quatre d’ailleurs.

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Mai 13, 2016, 11:46 UTC](https://www.debian-fr.org/t/squid-authentication/69597/3 "2016-05-13T11:46:51Z")

</div>

J’avance

j’ai finis l’ad sous debian.

mon tuto se basera uniquement sur le squid

edit du jour 18 /05 / 2016 🙂

Première Boulette : Il ne faut pas mettre l’ad et le proxy sur le même système d’exploitation. Donc j’en déduit que le pare-feu et le proxy doit être bien séparé.

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Mai 27, 2016, 9:49 UTC](https://www.debian-fr.org/t/squid-authentication/69597/5 "2016-05-27T09:49:41Z")

</div>

Bonjour

je galère avec les authentifications.

dois je utiliser authentification ntlm ou kerberos.  
car c’est le flot

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Mai 29, 2016, 11:15 UTC](https://www.debian-fr.org/t/squid-authentication/69597/6 "2016-05-29T11:15:25Z")

</div>

Bonjour  
j’avance  
j’ai réussi l’authentification sso

je pense qu’il est grand temps de faire une documentation car les docs ne sont pas valide.

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juin 17, 2016, 7:44 UTC](https://www.debian-fr.org/t/squid-authentication/69597/7 "2016-06-17T07:44:46Z")

</div>

bonjour,

Je me permet de vous interpeller sur le sujet de l’authentification. j’aimerai savoir si vous avez utilisé le kerberos pour communiquer avec votre Active Directory, car je rencontre des difficultés pour faire cohabiter mon Debian jessie et mon AD 2008 R2

Je vous remercie par avance de votre aide

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Juin 17, 2016, 7:58 UTC](https://www.debian-fr.org/t/squid-authentication/69597/8 "2016-06-17T07:58:39Z")

</div>

Bonjour

J’ai reussi pour ma part

le squid utilise l’authentification par kerbeos ensuite ntlm et enfin les comptes locaux.

Je peux t’aider, j’ai galérer mais j’ai compris les concepts et donc ça sera un plaisir de réviser.

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juin 20, 2016, 2:32 UTC](https://www.debian-fr.org/t/squid-authentication/69597/9 "2016-06-20T14:32:14Z")

</div>

merci beaucoup de ta réponse

je reviens sur mon projet squid demain que doit je de faire parvenir ?

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Juin 21, 2016, 8:59 UTC](https://www.debian-fr.org/t/squid-authentication/69597/10 "2016-06-21T08:59:54Z")

</div>

Bonjour Bomberman

ton squid.conf dans un premier temps.

---

<div class="post-metadata">

**Author:** ![vincentsan](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/v/b38774/32.png) [@vincentsan](https://www.debian-fr.org/u/vincentsan)\
**Post date:** [Juin 24, 2016, 9:30 UTC](https://www.debian-fr.org/t/squid-authentication/69597/11 "2016-06-24T09:30:38Z")

</div>

Bonjour,

J’avais fait ce setup il y a quelques années, surtout il faut éviter d’utiliser mskutils car cela ouvre une faille de sécurité béante.

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juin 29, 2016, 8:51 UTC](https://www.debian-fr.org/t/squid-authentication/69597/12 "2016-06-29T08:51:39Z")

</div>

> [@vincentsan](#):
>
> skutils c

Merci pour cette information vincentsan et malheureusement j’ai utilisé mskutils sans savoir ce problème donc il me faut changer mon fusil d’épaule.

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juin 29, 2016, 9:15 UTC](https://www.debian-fr.org/t/squid-authentication/69597/14 "2016-06-29T09:15:59Z")

</div>

et voila l’erreur du cache.log

kid1| ERROR: Negotiate Authentication validating user. Result: {result=BH, notes={message: received type 1 NTLM token; }}

---

<div class="post-metadata">

**Author:** ![vincentsan](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/v/b38774/32.png) [@vincentsan](https://www.debian-fr.org/u/vincentsan)\
**Post date:** [Juillet 1, 2016, 5:19 UTC](https://www.debian-fr.org/t/squid-authentication/69597/15 "2016-07-01T05:19:36Z")

</div>

Hello, j’ai justement abandonné le projet à cause de mskutils, mais il semblerait qu’il soit possible d’utiliser uniquement kerberos/samba pour l’authentification.

[http://wiki.squid-cache.org/ConfigExamples/Authenticate/Kerberos](http://wiki.squid-cache.org/ConfigExamples/Authenticate/Kerberos)

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juillet 1, 2016, 6:35 UTC](https://www.debian-fr.org/t/squid-authentication/69597/16 "2016-07-01T06:35:23Z")

</div>

Bonjour,

Excusez moi pour le retard de réponse j’ai eu un gros souci de disque dur sur mon PC ☹

voila mon squid.conf comme convenue

```nohighlight
# Squid normally listens to port 3128
http_port 3128

#######################################################################################
#######################################################################################

acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 1025-65535 # unregistered ports
acl CONNECT method CONNECT
acl adminnet src 192.168.10.0/24

#######################################################################################
#######################################################################################

# enable kerberos authentication
auth_param negotiate program /usr/lib/squid3/negotiate_kerberos_auth -s HTTP/debianux.lycee.ort@LYCEE.ORT
auth_param negotiate children 20 startup=0 idle=1
auth_param negotiate keep_alive off

# enable basic authentication via ldap
##auth_param basic program /usr/lib/squid3/basic_ldap_auth -R -b "dc=lycee,dc=ort" -D squid@lycee.ort -w squid -f (|(userPrincipalName=%s)(sAMAccountName=%s)) -h serveur.lycee.ort
##auth_param basic children 10
##auth_param basic realm Internet Proxy
##auth_param basic credentialsttl 1 minute

# require proxy authentication
acl auth proxy_auth REQUIRED

## HTTP RULES
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow adminnet auth
##http_access deny manager
http_access deny !auth
http_access allow auth
http_access deny all

```

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juillet 5, 2016, 9:53 UTC](https://www.debian-fr.org/t/squid-authentication/69597/17 "2016-07-05T09:53:56Z")

</div>

Toujours dans la partie ? 🙂

---

<div class="post-metadata">

**Author:** ![vincentsan](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/v/b38774/32.png) [@vincentsan](https://www.debian-fr.org/u/vincentsan)\
**Post date:** [Juillet 5, 2016, 1:54 UTC](https://www.debian-fr.org/t/squid-authentication/69597/18 "2016-07-05T13:54:42Z")

</div>

Oui mis je n’ai pas beaucoup de temps…

Alors si tu as suivi le lien de mon post précédent :

OR with Samba

```bash
Join host to domain with net ads join
Create keytab for HTTP/fqdn with net ads keytab

```

Squid Configuration File  
Paste the configuration file like this:

```bash
auth_param negotiate program /usr/sbin/squid_kerb_auth
auth_param negotiate children 10
auth_param negotiate keep_alive on

```

The basic auth ACL controls to make use of it are:

```bash
acl auth proxy_auth REQUIRED
http_access deny !auth
http_access allow auth
http_access deny all

```

Add the following to the squid startup script (Make sure the keytab is readable by the squid process owner e.g. chgrp squid /etc/squid/HTTP.keytab; chmod g+r /etc/squid/HTTP.keytab )

```bash
KRB5_KTNAME=/etc/squid/HTTP.keytab
export KRB5_KTNAME

```

Kerberos can keep a replay cache to detect the reuse of Kerberos tickets (usually only possible in a 5 minute window) . If squid is under high load with Negotiate(Kerberos) proxy authentication requests the replay cache checks can create high CPU load. If the environment does not require high security the replay cache check can be disabled for MIT based Kerberos implementations by adding the following to the startup script

```bash
KRB5RCACHETYPE=none
export KRB5RCACHETYPE

```

Il faut biensûr également configurer kerberos correctement !

En utilisant samba plus besoin de mskutils, tu joins la machine au domaine avec net ads join !

---

<div class="post-metadata">

**Author:** ![bomberman](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/b/2bfe46/32.png) [@bomberman](https://www.debian-fr.org/u/bomberman)\
**Post date:** [Juillet 5, 2016, 2:13 UTC](https://www.debian-fr.org/t/squid-authentication/69597/19 "2016-07-05T14:13:17Z")

</div>

je m’excuse le petit mot était pour la seconde personne (cleloup) qui ma demande de lui envoyer mon fichier conf

Je vous remercie pour vos informations et je m’excuse encore pour ma maladresse

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Juillet 8, 2016, 7:40 UTC](https://www.debian-fr.org/t/squid-authentication/69597/20 "2016-07-08T07:40:50Z")

</div>

Bonjour bomberman

Désolé du retard, je suis un peu occupé en ce moment .  
la semaine prochaine je devais t’aider.

---

<div class="post-metadata">

**Author:** ![anon93295908](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/a/b782af/32.png) [@anon93295908](https://www.debian-fr.org/u/anon93295908)\
**Post date:** [Octobre 17, 2020, 8:47 UTC](https://www.debian-fr.org/t/squid-authentication/69597/21 "2020-10-17T08:47:26Z")

</div>

Je UP le sujet car j’ai decidé de reprendre le tuto sous Debian 10.

avez vous des liens à partager pour monter un proxy avec authentification active directory ?

---

<div class="post-metadata">

**Author:** ![Zargos](https://www.debian-fr.org/user_avatar/www.debian-fr.org/zargos/32/10889_2.png) [@Zargos](https://www.debian-fr.org/u/Zargos)\
**Post date:** [Octobre 17, 2020, 9:44 UTC](https://www.debian-fr.org/t/squid-authentication/69597/22 "2020-10-17T09:44:41Z")

</div>

Ton Active Directory est de quelle version désormais?  
L’authentification via LDAP est préférable à une authentification via protocole AD en fait. C’est plus faciles et il suffit de le faire en SSL.

[Page suivante](https://www.debian-fr.org/t/squid-authentication/69597.md?page=2)