external_acl_type sur Squid

Recherche :

Mot : Pseudo : Filtrer
Bas de page
Auteur	Sujet : external_acl_type sur Squid

nicoo74

Bonjour à tous.

Je vous expose mon problème.

Alors voilà, je suis entrain de mettre en place un Serveur Squid dans l'hopital où je travail.

Mon squid trourne très bien, autentification avec L'AD via un groupe précis..
Mais voilà, il m'en faut plus !!!

Je souhaiterais faire d'autres groupes utilisateurs, afin de filtrer via des ACL.
Ex : le SSL

Voici un extrait de mon squid.conf

le programme d'authentification :

Code :

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of=DOMAINE\\web
auth_param ntlm children 50
auth_param basic realm DOMAINE

Le cache :

Code :

hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
cache_dir ufs /var/spool/squid 1024 256 256
cache_peer 192.168.11.1 parent 10000 7 no-query default
cache_mem 128 MB
maximum_object_size 2 MB
cache_swap_log /var/log/squid/swap.log
cache deny QUERY
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
access_log /var/log/squid/access.log squid
hosts_file /etc/hosts
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

Voici mon ACL pour mon groupe AD pour le protocole SSL :

Code :

external_acl_type NTG children=20 %LOGIN /usr/lib/squid/wbinfo_group.pl
acl Groupe_SSL external NTG Web_SSL

Et finalement, mes http_access :

Code :

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access allow localhost
http_access allow ssl Groupe_SSL
http_access deny ssl
http_access allow ntlm

Normalement, avec ce paramétrage, je devrai pouvoir me connecter à des sites sécurisés seulement avec les membres du groupe Web_SSL sur mon AD.

Mais malheureusement, ils passent tous.

Si vous avez une idée, merci.

Publicité

Arcan_-

Salut,

Commence par rajouter un http_access deny all à la fin.
Avec cette ligne en plus, tout ce qui ne correspond pas à une ligne au dessus sera refusé.
Sans cette ligne, ton squid est une passoire.

Arcan_-

Message édité par Arcan_- le 06-03-2009 à 21:47:05

nicoo74

Bonjour,

Merci pour ta réponse, c'est vrai que j'avais oublié de remettre le deny all ...

Entre temps, j'ai modifié mon squid.conf mais j'ai toujours des erreurs.

Mes acl du LDAP:

Code :

external_acl_type NTG children=20 %LOGIN /usr/lib/squid/wbinfo_group.pl
acl Groupe_SSL external NTG Web_SSL
acl Groupe_Web external NTG web

Mes http_access :

Code :

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
#http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access deny ssl Groupe_Web
http_access allow ssl Groupe_SSL
http_access deny ssl
http_access allow ntlm
http_access deny all

Et avec ceci, il me bloque bien le ssl et me demande de m'authentifier, mais même avec des utilisateurs du groupe Web_SSL, ca ne passe pas...

Ai-je fais une boulette quelque part ?
Merci, Nico.

Arcan_-

Citation :

external_acl_type NTG children=20 %LOGIN /usr/lib/squid/wbinfo_group.pl
acl Groupe_SSL external NTG Web_SSL
acl Groupe_Web external NTG web

Tu as plus simple et sans passer par un rediretor :

Citation :

acl Web_SSL proxy_auth REQUIRED

Tu utilises SSL_ports, qui est un acl par défaut, et ssl. As tu créé l'acl ssl ?

nicoo74

Salut,

Merci pour ta réponse.

Si je fais comme tu indiques, cela utilisera l'authentification ntlm générale et n'ira pas dans mon groupe AD "Web_SSL".

Il utilisera cette ligne :

Code :

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of=DOMAINE\\web

Dans mes tests, je désactivais "!SSL_port" car il ne me bloquait pas, je testais avec "acl ssl port 445"

Voilà.

Arcan_-

Le port ssl par défaut est le 443.

Message cité 1 fois

nicoo74

Arcan_- a écrit :

Le port ssl par défaut est le 443.

Faute de frappe...

Arcan_-

As tu testé que la vérification du groupe se déroule bien ? (en dehors de squid)

Message édité par Arcan_- le 11-03-2009 à 15:05:10

nicoo74

Oui j'ai analysé les échanges entre mon squid et mon AD, les requetes passent bien...

Donc je suis un peu perdu !

Sinon, je sais pas si tu sais si on peut faire la même chose avec SquidGuard, avec des groupes et filtrer par un port spécifique !?

Arcan_-

À ma connaissance, SquidGuard ne filtre que suivant sa blacklist.

Essais : wbinfo -g
Ça doit normalement te renvoyer tous les groupes du domaine.

Publicité

nicoo74

Avec wbinfo cela fonctionne très bien.

FORUM HardWare.fr

Systèmes & Réseaux Pro

Sécurité

external_acl_type sur Squid

Sujets relatifs
Stat Squid	Coupures bizares sur des liaisons de Type XDSL point à point
squid v3 avec webmin	Quelle type de gaine pour passage FO ?
Linux : Squid ne met pas en cache	Squid transparent HTTPS + Squid lent
Configuration Squid sur ubuntu server	Demande de type de cable à paire torsadées
Déployement os type Server2k8 avec IP fixe	proxy squid et mise a jour serveur kaspersky impossible
Plus de sujets relatifs à : external_acl_type sur Squid

Page générée en 0.100 secondes