12.4. Authentification Squid

1. Modifier /etc/squid/squid.conf pour TLS :

   auth_param basic program /usr/lib64/squid/basic_ldap_auth -Z -b "dc=example,dc=com" -f "uid=%s" -c 2 -t 2 -h ldap.example.com

   et pour SSL :

   auth_param basic program /usr/lib64/squid/basic_ldap_auth -b "dc=example,dc=com" -f "uid=%s" -c 2 -t 2 -H ldaps://ldap.example.com

   Quand

   -b - Specifies the base DN under which the users are located.
   -f - Specifies LDAP search filter to locate the user DN.
   -c - Specifies timeout used when connecting to LDAP servers.
   -t - Specifies time limit on LDAP search operations.
   -h - Specifies the LDAP server to connect to.
   -H - Specities the LDAP server to connect to by LDAP URI

2. Redémarrer le service Squid

   ~]# systemctl restart squid

Procédure 12.4. Configurer Squid dans Red Hat Enterprise Linux 7 pour utiliser l'authentification Kerberos

1. Configurer Squid pour rejoindre un domaine AD (Active Directory).
   1. Modifier le fichier /etc/krb5.conf :

      [libdefaults]
                default_realm = EXAMPLE.COM
                dns_lookup_kdc = no
                dns_lookup_realm = no
                default_keytab_name = /etc/krb5.keytab
          ; for Windows 2003
                default_tgs_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
                default_tkt_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
                permitted_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
      
          ; for Windows 2008 with AES
          ;      default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
          ;      default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
          ;      permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
      
          [realms]
           EXAMPLE.COM = {
            kdc = 192.168.0.1
            admin_server = 192.168.0.1
           }
      
          [domain_realm]
           example.com = EXAMPLE.COM
           .example.com = EXAMPLE.COM
      
          [logging]
            kdc = FILE:/var/log/kdc.log
            admin_server = FILE:/var/log/kadmin.log
            default = FILE:/var/log/krb5lib.log

   2. Vérifier par la commande kinit :

      ~]# kinit testuser1

      ~]# kinit administrator

   3. Modifier le fichier /etc/samba/smb.conf comme suit :

      [global]
      workgroup = EXAMPLE
      password server = 192.168.0.1
      # Remember to put the realm all in CAPS:
      realm = EXAMPLE.COM
      security = ads
      idmap uid = 16777216-33554431
      idmap gid = 16777216-33554431
      template shell = /bin/bash
      winbind use default domain = true
      winbind offline logon = false
      winbind enum users = yes
      winbind enum groups = yes
      encrypt passwords = yes
      log file = /var/log/samba/log.%m
      max log size = 50
      passdb backend = tdbsam
      load printers = yes
      cups options = raw
      kerberos method = system keytab

   4. Rejoindre le domaine AD

      ~]# net ads join -U Administrator

2. Créer un onglet pour HTTP/fqdn par la commande net ads keytab

   ~]# kinit administrator
   ~]# export KRB5_KTNAME=FILE:/etc/squid/HTTP.keytab
   ~]# net ads keytab CREATE
   ~]# net ads keytab ADD HTTP

   et vérifier le fichier keytab

   ~]# klist -k /etc/squid/HTTP.keytab

   Note

   Veillez à ce que le nom d'hôte soit bien défini dans le fichier /etc/hosts
3. Les fichiers doivent être inclus dans Squid.

   ~]# rpm -q squid
       squid-3.1.10-1.el6.x86_64

   ~]# rpm -ql squid | grep kerb

   /usr/lib64/squid/negotiate_kerberos_auth  
       /usr/lib64/squid/negotiate_kerberos_auth_test  
       /usr/lib64/squid/squid_kerb_auth  
       /usr/lib64/squid/squid_kerb_auth_test

4. Modifier /etc/squid/squid.conf comme suit

   auth_param negotiate program /usr/lib64/squid/squid_kerb_auth -d -s HTTP/squid.example.com@EXAMPLE.COM  
   auth_param negotiate children 10
   auth_param negotiate keep_alive on
   acl kerb_auth proxy_auth REQUIRED
   (content truncated)
   
   http_access allow kerb_auth  
   http_access allow manager localhost  
   http_access deny manager  
   http_access deny !Safe_ports  
   http_access deny CONNECT !SSL_ports  
   http_access allow localnet  
   http_access allow localhost  
   http_access deny all  
   (content truncated)

5. Définir le fichier .keytab sur lecture (read) par le propriétaire du processus Squid :

   ~]# chgrp squid /etc/squid/HTTP.keytab

   ~]# chmod g+r /etc/squid/HTTP.keytab

6. Ajouter les lignes suivantes au fichier /etc/sysconfig/squid :

   KRB5_KTNAME="/etc/squid/HTTP.keytab "
   export KRB5_KTNAME

7. Démarrer le service Squid

   ~]# service squid start

8. Configuration un client Kerberos et configurer votre navigateur pour qu'il utilise le serveur proxy de Squid. Obtenir un ticket Kerberos du KDC (Key Distribution Center).

   ~]# kinit testuser1

   Essayez d'accéder à un site. Le navigateur ne doit pas vous demander un nom d'utilisateur ou un mot de passe.