windows-server-2008 – 让squid通过kerberos和Windows 2008/2003/7 / XP进行身份验证

分类：Windows作者：佚名
这是我最近设置的,并且是一个非常大的痛苦.我的环境正在变得鱿鱼无法对 Windows 2008 Server进行Windows 7客户端身份验证. NTLM实际上不是一个选项,因为使用它需要在每个客户端上更改注册表.

自从Windows 2000以来,MS一直在推荐Kerberos,所以现在终于可以开始使用该程序了.

很多,非常感谢Squid邮件列表中的Markus Moeller帮助实现这一目标.

这是使用Squid 3.0设置的,也已经过Squid 3.1测试,应该与Squid 2.7一起使用.您的Windows用户必须是Active Directory中SQUID_USERS组的成员(无论如何都是这种情况).

在Windows方面,Windows XP和Windows 2007已针对Windows 2008和Windows XP针对Windows 2003进行了测试.

请注意,几乎每个步骤都需要前面的步骤.

如果您遇到问题,DNS始终是第一个看的地方.两台Windows机器都应该能够通过名称ping Linux服务器(反之亦然),您可能需要运行ipconfig / flushdns.重新启动也可能有所帮助,如果你想确定没有任何问题.

域信息

> Windows域名：dom.local
>域服务器：server.dom.local,172.17.3.11
> CentOS squid服务器：centos.dom.local,172.17.3.10

域服务器设置

>在DNS配置中创建dom.local反向区域.
>为centos.dom.local创建指向172.17.3.10的静态(‘A’)记录,当询问是否要设置反向PTR时选择是.

Windows 2008

对于Windows 2008服务器,您需要安装Hotfix 951191.

Linux安装程序

小包装

安装包

$yum install -y cyrus-sasl-gssapi cvs autoconf automake openldap openldap-devel krb5-workstation krb5-devel gcc-c++

安装msktutil.您需要在构建之前对其进行修补.

$wget http://download.systemimager.org/~finley/msktutil/msktutil_0.3.16.orig.tar.gz
$wget http://download.systemimager.org/~finley/msktutil/msktutil_0.3.16-7.diff.gz
$gunzip msktutil_0.3.16-7.diff.gz
$tar zxf msktutil_0.3.16.orig.tar.gz
$cd msktutil-0.3.16
$patch < ../msktutil_0.3.16-7.diff
$./configure && make && make install

编译最新的squid_kerb_ldap.

$cvs -z3 -d:pserver:anonymous@squidkerbauth.cvs.sourceforge.net:/cvsroot/squidkerbauth co -P squid_kerb_ldap
$cd squid_kerb_ldap
$./configure && make

DNS

使用system-config-network配置域控制器的DNS点,将主机名设置为centos.dom.local.

重启

检查反向DNS工作正常：
$dig -x 172.17.3.10

你应该在答案部分获得centos.dom.local.如果你不这样做,那就没有意义了.如果没有正确配置DNS,Kerberos身份验证将无法运行.

Kerberos的

你的krb.conf应该是这样的：

[logging]
 default = FILE:/var/log/krb5libs.log
 kdc = FILE:/var/log/krb5kdc.log
 admin_server = FILE:/var/log/kadmind.log

[libdefaults]
 default_realm = DOM.LOCAL
 dns_lookup_realm = false
 dns_lookup_kdc = false
 ticket_lifetime = 24h

# For Windows XP:
 default_tgs_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
 default_tkt_enctypes = rc4-hmac des-cbc-crc des-cbc-md5
 permitted_enctypes = rc4-hmac des-cbc-crc des-cbc-md5

# For Windows 2007:
# default_tgs_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
# default_tkt_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
# permitted_enctypes = aes256-cts-hmac-sha1-96 rc4-hmac des-cbc-crc des-cbc-md5
 forwardable = yes

[realms]
 DOM.LOCAL = {
  kdc = 172.17.3.11:88
  admin_server = 172.17.3.11:7491
  default_domain = dom.local
 }

[domain_realm]
 .dom.local = DOM.LOCAL
 dom.local = DOM.LOCAL

[appdefaults]
 pam = {
   debug = false
   ticket_lifetime = 36000
   renew_lifetime = 36000
   forwardable = true
   krb4_convert = false
}

创建密钥表：

$kinit administrator
$msktutil -c -b "CN=COMPUTERS" -s HTTP/centos.dom.local -h centos.dom.local -k /etc/HTTP.keytab --computer-name centos-http --upn HTTP/centos.dom.local --server server.dom.local --verbose

对于Windows 2008,您需要将–enctypes 28添加到msktutil命令.

乌贼

安装鱿鱼：

$wget http://www.squid-cache.org/Versions/v3/3.0/squid-3.0.STABLE18.tar.gz
$tar zxvf squid-3.0.STABLE18.tar.gz 
$cd squid-3.0.STABLE18
$./configure --enable-negotiate-auth-helpers=squid_kerb_auth --enable-stacktraces --prefix=/opt/squid-3.0
$make
$make install
$cp helpers/negotiate_auth/squid_kerb_auth/squid_kerb_auth /opt/squid-3.0/sbin/
$cp ~/squid_kerb_ldap/squid_kerb_ldap /opt/squid-3.0/sbin/
$cd /opt/squid-3.0/
$mv etc/squid.conf etc/squid.conf.ORIG

在squid.conf中设置适当的参数：

auth_param negotiate program /opt/squid-3.0/sbin/squid_kerb_auth -d -s HTTP/centos.dom.local
auth_param negotiate children 10
auth_param negotiate keep_alive o

external_acl_type SQUID_KERB_LDAP ttl=3600  negative_ttl=3600  %LOGIN /opt/squid-3.0/sbin/squid_kerb_ldap -d -g SQUID_USERS
acl AUTHENTICATED proxy_auth REQUIRED
acl LDAP_GROUP_CHECK external SQUID_KERB_LDAP
acl localnet src 172.17.3.0/24        # RFC1918 possible internal network

#http_access allow localnet
#http_access allow AUTHENTICATED
http_access allow LDAP_GROUP_CHECK

cache_dir ufs /var/cache/squid-3.0 100 16 256
access_log /var/log/squid-3.0/access.log squid
cache_log /var/log/squid-3.0/cache.log
cache_store_log /var/log/squid-3.0/store.log
pid_filename /var/run/squid-3.0.pid
cache_effective_user squid
cache_effective_group squid
coredump_dir /var/cache/squid-3.0

设置用户和目录：

$chown -R squid:squid /opt/squid-3.0/
$mkdir /var/cache/squid-3.0
$chown -R squid:squid /var/cache/
$mkdir /var/log/squid-3.0
$chown -R squid:squid /var/log/squid-3.0/
$chown squid:squid /etc/HTTP.keytab

创建缓存：

$/opt/squid-3.0/sbin/squid -z

初始化脚本

现在这很重要：Squid需要一些环境变量设置才能正常运行.执行此操作的最佳方法是使用init脚本.这是一个略有编辑的CentOS：

#!/bin/bash
# squid     This shell script takes care of starting and stopping
#       Squid Internet Object Cache
#
# chkconfig: - 90 25
# description: Squid - Internet Object Cache. Internet object caching is \
#   a way to store requested Internet objects (i.e.,data available \
#   via the HTTP,FTP,and gopher protocols) on a system closer to the \
#   requesting site than to the source. Web browsers can then use the \
#   local Squid cache as a proxy HTTP server,reducing access time as \
#   well as bandwidth consumption.
# pidfile: /var/run/squid-3.0.pid
# config: /opt/squid-3.0/etc/squid.conf

PATH=/usr/bin:/sbin:/bin:/usr/sbin
export PATH

# Source function library.
. /etc/rc.d/init.d/functions

# Source networking configuration.
. /etc/sysconfig/network

# don't raise an error if the config file is incomplete
# set defaults instead:
SQUID_OPTS=${SQUID_OPTS:-"-D"}
SQUID_PIDFILE_TIMEOUT=${SQUID_PIDFILE_TIMEOUT:-20}
SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

KRB5_KTNAME=/etc/HTTP.keytab
export KRB5_KTNAME

# determine the name of the squid binary
[ -f /opt/squid-3.0/sbin/squid ] && SQUID=/opt/squid-3.0/sbin/squid

prog="$SQUID"

# determine which one is the cache_swap directory
CACHE_SWAP=`sed -e 's/#.*//g' /opt/squid-3.0/etc/squid.conf | \
    grep cache_dir |  awk '{ print $3 }'`
[ -z "$CACHE_SWAP" ] && CACHE_SWAP=/var/spool/squid-3.0

RETVAL=0

start() {

        #check if the squid conf file is present
        if [ ! -f /opt/squid-3.0/etc/squid.conf ]; then
            echo "Configuration file /opt/squid-3.0/etc/squid.conf missing" 1>&2
            exit 6
        fi
        . /etc/sysconfig/squid

        # don't raise an error if the config file is incomplete.
        # set defaults instead:
        SQUID_OPTS=${SQUID_OPTS:-"-D"}
        SQUID_PIDFILE_TIMEOUT=${SQUID_PIDFILE_TIMEOUT:-20}
        SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

        if [ -z "$SQUID" ]; then
                echo "Insufficient privilege" 1>&2
                exit 4
        fi

        for adir in $CACHE_SWAP; do
        if [ ! -d $adir/00 ]; then
         echo -n "init_cache_dir $adir... "
         $SQUID -z -F -D >> /var/log/squid-3.0/squid.out 2>&1
    fi
    done
    echo -n $"Starting $prog: "
    $SQUID $SQUID_OPTS >> /var/log/squid-3.0/squid.out 2>&1
    RETVAL=$?
    if [ $RETVAL -eq 0 ]; then
       timeout=0;
       while : ; do
          [ ! -f /var/run/squid-3.0.pid ] || break
      if [ $timeout -ge $SQUID_PIDFILE_TIMEOUT ]; then
         RETVAL=1
         break
      fi
      sleep 1 && echo -n "."
      timeout=$((timeout+1))
       done
    fi
    [ $RETVAL -eq 0 ] && touch /var/lock/subsys/squid-3.0
    [ $RETVAL -eq 0 ] && echo_success
    [ $RETVAL -ne 0 ] && echo_failure
    echo
    return $RETVAL
}

stop() {
    . /etc/sysconfig/squid

    # don't raise an error if the config file is incomplete.
    # set defaults instead:
    SQUID_SHUTDOWN_TIMEOUT=${SQUID_SHUTDOWN_TIMEOUT:-100}

    echo -n  $"Stopping $prog: "
    $SQUID -k check >> /var/log/squid-3.0/squid.out 2>&1
    RETVAL=$?
    if [ $RETVAL -eq 0 ] ; then
        $SQUID -k shutdown &
        rm -f /var/lock/subsys/squid-3.0
    timeout=0
    while : ; do
        [ -f /var/run/squid-3.0.pid ] || break
        if [ $timeout -ge $SQUID_SHUTDOWN_TIMEOUT ]; then
            echo
            return 1
        fi
        sleep 2 && echo -n "."
        timeout=$((timeout+2))
        done
    echo_success
    echo
    else
        echo_failure
    echo
    fi
    return $RETVAL
}

reload() {
    . /etc/sysconfig/squid
    # don't raise an error if the config file is incomplete.
    # set defaults instead:
    SQUID_OPTS=${SQUID_OPTS:-"-D"}

    $SQUID $SQUID_OPTS -k reconfigure
}

restart() {
    stop
    start
}

condrestart() {
    [ -e /var/lock/subsys/squid-3.0 ] && restart || :
}

rhstatus() {
    status $SQUID && $SQUID -k check
}

probe() {
    return 0
}

case "$1" in
start)
    start
    ;;

stop)
    stop
    ;;

reload)
    reload
    ;;

restart)
    restart
    ;;

condrestart)
    condrestart
    ;;

status)
    rhstatus
    ;;

probe)
    exit 0
    ;;

*)
    echo $"Usage: $0 {start|stop|status|reload|restart|condrestart}"
    exit 2
esac

exit $?

这些是重要的路线：

KRB5_KTNAME=/etc/HTTP.keytab
export KRB5_KTNAME

客户端机器

使用端口3128将代理设置为服务器centos.dom.local.使用完全限定的域名而不是IP地址非常重要.

版权声明：本文内容由互联网用户自发贡献，该文观点与技术仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如发现本站有涉嫌侵权/违法违规的内容， 请发送邮件至 dio@foxmail.com 举报，一经查实，本站将立刻删除。

相关推荐

windows无法连接到wifi怎么办
windows无法连接到wifi怎么办
通过Xftp工具连接Windows-7虚拟机
文章浏览阅读2.2k次，点赞6次，收藏20次。在我们平时办公工作中，很多时候我们经常会使用到虚拟机来进行环境的测试，我们平时在虚拟机上接触的最多的莫过于Linux和Winwdos。不过虚拟机环境和物理机环境是无法直接传输的，那么有的时候呢，同学们又想要在两者之间相互传输文件，可能就会使用QQ邮箱等形式来传输，这样的效率又慢而且繁琐，今天我就为大家带来一种非常便捷的传输方式。通过XFTP工具来进行文件传输。_xftp连接windows
Windows 系统下载安装 GCC 环境 MinGW-w64 和 支持 make
文章浏览阅读1k次。解决 Windows make command not found 和 安装 GCC 环境_windows下载gcc
Ubuntu22.04：设置Samba服务【Windows访问samba共享提示，你不能访问此共享文件夹】
文章浏览阅读3.2k次，点赞2次，收藏6次。2、鼠标依次点击“计算机配置“ - ”管理模板“ - ”网络“ - ”Lanman工作站”，点击右侧的“启用不安全的来宾登录”策略。Windows访问samba共享时，提示“你不能访问此共享文件夹，因为你组织的安全策略阻止未经身份验证的来宾访问”1、键盘按下window+R键，输入gpedit.msc，启动本地组策略编辑器。首先在终端中输入sudo ufw status查看当前防火墙状态。默认状态是“未配置”，修改为“已启用”。示例：创建一个narada的目录在/home下。1.更新apt储存库列表。_ubuntu samba 目标文件夹访问被拒绝
BD和HD是什么意思？BD和HD相比哪个更加清晰呢？
文章浏览阅读1.3w次。蓝光版属于高清版的一种。BD英文全名是Blu-ray Disc，一种高清的电影版本，这种电影十分清晰但是数据量巨大，占数十G甚至上百G的容量，只有蓝光光碟才能装得下，所以这种高清电影被称为BD版。一般的高清电影多半是从蓝光电影、国外的高清电视频道上压制而来的，可以通过网络下载，多数都经过二次压缩，画质要逊于原视频，不过压缩后的容量从蓝光的25G-50G会减少成4G-8G等（15G-20G不等）。众所周知，视频有两种常见的清晰度，BD和HD，在看电影的时候最常出现这两个标志，那么BD和HD具体指的是什么呢？_bd hd
C#的IEnumerator＜T＞ 和 IEnumerable
文章浏览阅读974次，点赞7次，收藏8次。提供了更强大的功能，因为它允许直接访问当前元素，而不需要类型转换。接口，它可以提供一个迭代器，用于按顺序访问集合中的元素。接口是只读的，它只能支持前向迭代，不能修改集合中的元素。类型的集合实例，并向其中添加了几个元素。接口，可以创建一个能够迭代访问泛型集合中元素的迭代器。接口，我们可以在 C# 中实现可迭代的集合，并使用。循环和迭代器手动遍历集合，并输出每个元素的值。接口表示一个可枚举的集合，它定义了一个方法。属性，用于获取集合中当前位置的元素。存储集合中的元素，并实现了。的泛型集合类，它实现了。
List移除元素的四种方式
文章浏览阅读1.4w次，点赞5次，收藏22次。如果使用iterator的remove方法则会正常，因为iterator的remove方法会在内部调用List的remove方法，但是会修改excepedModCount的值，因此会正常运行。因为遍历过程中进行remove 操作时，该位置后面的元素会挤到前面来，这时候会发生一种情况就是原来元素的位置会被他后面的元素取代，而该位置已经遍历过了，所以该元素不会背遍历。当我们倒序遍历元素的时候，无论删除元素之后的元素怎么移动，之前的元素对应的索引（index）是不会发生变化的，所以在删除元素的时候不会发生问题。_list删除某个元素
Windows11下配置Visual Studio2022 环境变量（Windows下配置Visual Studio 通用）
文章浏览阅读2.9w次，点赞45次，收藏192次。Windows下配置Visual Studio _vs2022环境变量配置
新手Python环境配置以及pip安装教程
文章浏览阅读7w次，点赞162次，收藏778次。pip 是Python包管理工具，提供了对 Python 包的查找、下载、安装、卸载的功能，目前Python 3.4 和 2.7 及以上版本都有配套安装，一般pip的位置在...pythonScripts文件夹里面，而在其他版本需要自行下载。_python pip install安装
Anaconda的安装（windows详细教程）
文章浏览阅读5.8k次，点赞2次，收藏12次。①此电脑右击----->选择属性----->高级系统设置----->环境变量----->path----->编辑----->新建。第一个选项意思就是将安装路径填入到系统环境变量中，这里勾选，后面使用可能会出现问题，建议不要勾选，安装好之后手动添加环境变量。注意：如果提示conda不是内部或外部命令，原因是Anaconda的环境变量没配置好。如果不想立即打开anaconda，不勾选直接finish就好。②输入 conda --version ，查看conda环境。②直接按win键，搜索“环境变量”_windows安装anaconda
Windows 系统从零配置 Python 环境，安装CUDA、CUDNN、PyTorch 详细教程
文章浏览阅读5.1k次，点赞8次，收藏55次。Windows 系统从零配置 Python 环境，安装CUDA、CUDNN、PyTorch 详细教程_windows cuda cudnn配置
【macOS自带VNC远程】——Windows在外远程桌面控制macOS
文章浏览阅读1.5w次，点赞54次，收藏68次。macOS系统自带有VNC远程桌面，我们可以在控制端上安装配置VNC客户端，以此来实现远程控制macOS。但通常需要在不同网络下进行远程控制，为此，我们可以在macOS被控端上使用cpolar做内网穿透，映射VNC默认端口5900，通过所生成的公网地址，来实现在公网环境下远程控制VNC。_vnc mac
PaddleSpeech 的环境搭建与使用（windows）
文章浏览阅读2.4k次，点赞5次，收藏11次。进入后根据自己的电脑系统下载，这是python 3.10版本下载地址，如果想要下载其它版本可进入此链接（下载完成后点击进行安装点击下一步，到这一步时，可以选择将Anaconda添加我的PATH环境变量中，这样就不用自己手动配置和环境变量。安装完成后，打开终端，输出 python 命令可查看是否安装成功。如果显示自己刚才安装的版本号说明安装成功。查看conda版本命令：conda info。_paddlespeech下载
安装Redis并把Redis设置成windows下的服务然后进行Redis实例演示
文章浏览阅读3.3k次。所以如果要删除之前新增的课程编译原理，只需输入命令del Course:8:Cname，同时还应该把本课程的学分删除del Course:8:Ccredit，如下图所示;Redis并没有修改数据的命令，所以如果在Redis中要修改一条数据，只能在使用set命令时，使用同样的键值，然后用新的value值来覆盖旧的数据。先调用get命令，输出原先的值，然后set新的值，最后再get得到新值，所以修改成功。输入命令后没有报错，表示成功了，刷新windows的服务，多了一个redis服务。_redis windows服务
解决Microsoft Visual C++ 14.0 or greater is required. Get it with “Microsoft C++ Build Tools“
文章浏览阅读2.1w次，点赞9次，收藏56次。​​接着在【工作负荷】中，选择【使用C++桌面开发】 ，右边【安装详细信息】去除其它可选项，只勾选【MSVCv142 】和 【Windows 10 SDK】，按图示修改，然后右下角点击安装，之后会有提示让你重启电脑。重启电脑之后，再进行pip安装。报错原因是pip所安装的包需要使用C++编译后才能够正常安装，但是当前安装环境中缺少完整的C++编译环境，因此安装失败。3.安装Microsoft Visual C++ Build Tool离线安装包（1个多G），CSDN资源很多，需要积分下载，_error: microsoft visual c++ 14.0 or greater is required. get it with "micros
关于Windows 长路径支持的设置
文章浏览阅读1.1w次，点赞3次，收藏7次。Step 3： 在右侧窗口中找到名称为“LongPathsEnabled”的“DWORD (32 位) 值”条目，并双击它。通过注册表方法或组策略方法启用长路径支持后，您将能够在 Windows 中使用长路径，并能够访问和处理长路径下的文件和文件夹。Step 2： 依次选择“计算机配置” > “管理模板” > “系统” > “文件资源管理器”。Step 3： 找到“启用 Win32 长路径”设置，双击它。Step 4： 选择“已启用”选项按钮，然后选择“应用”按钮。_windows长路径支持
在Linux上顺理成章在Windows上令人费解的事情你都知道吗?
文章浏览阅读2.5k次，点赞81次，收藏86次。
图灵之旅--ArrayList&顺序表&LinkedList&链表&&栈&&Stack&&队列&&Queue
文章浏览阅读1.3k次，点赞65次，收藏50次。顺序表,链表,栈,队列,ArrayList,LinkedList,Stack,Queue
最好用的文本与文件查询软件AnyTXT Searcher与Listary简介
文章浏览阅读2.3k次，点赞2次，收藏2次。AnyTXTSearcher是一款能够帮助我们对文档以及文本内容进行快速搜索和管理的工具，通过该软件能够搜索各种Office文档，文本文件，代码，PDF文档等，顶级的全文搜索引擎1秒钟之内即可完成搜索。_anytxt searcher
【基础】Windows 必会技能 ——解除文件夹/文件占用
文章浏览阅读8.8k次，点赞73次，收藏70次。有时，在删除/移动/重命名文件夹/文件时，会遇到如下警告，即使将打开的程序关闭了，后台也可能会有没关干净的相关进程。_解除占用
pythonJavaScriptjavaHTMLPHPreactjsC#AndroidCSSNode.jssqlrpython-3.xMysqLjQueryc++pandasFlutterangularIOSdjangolinuxswifttypescript路由器JSON路由器设置无线路由器h3c华三华三路由器设置华三路由器电脑软件教程arraysdocker软件图文教程Cvue.jslaravelspring-boot