Налаживаю авторизацию в домене windows server 2003. Базовая авторизация работает. При включении в squid.conf строчки для включения "небазовой" ntlm-аутентификации
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --require-membership-of="ИМЯЛОКАЛЬНОГОДОМЕНА"
происходит следующее:
Браузер выдает окошко "введите логин и пароль", как при базовой, только без предупреждения про "нешифрованность и открытотекстость". Ввожу имя и пароль. Получаю снова то же окошко, только в нем мой логин прописан уже в виде ИМЯЛОКАЛЬНОГОДОМЕНА\юзер - и никакого дальнейшего эффекта. Самое интересное начинается в логах.
access.log : 172.16.0.83 TCP_DENIED/407 1840 GET
http://go.microsoft.com/fwlink/? - NONE/- text/html
вполне стандартно
cache.log (а вот тут самое интересное!)
[2008/04/21 10:43:39, 0] utils/ntlm_auth.c:get_require_membership_sid(236)
Could not parse ИМЯЛОКАЛЬНОГОДОМЕНА into seperate domain/name parts!
Подчеркну: ИМЯЛОКАЛЬНОГОДОМЕНА - односложное, т.е, состоит из одного слова, домен никуда не делегируется, единственный в лесу и тд.
Часть конфигов:
krb5.conf
[libdefaults]
default_realm = ИМЯЛОКАЛЬНОГОДОМЕНА
clockskew = 300
[realms]
ИМЯЛОКАЛЬНОГОДОМЕНА = {
kdc = dc2.имялокальногодомена
default_domain = имялокальногодомена
admin_server = dc2.имялокальногодомена
}
[logging]
kdc = FILE:/var/log/krb5/krb5kdc.log
admin_server = FILE:/var/log/krb5/kadmind.log
default = SYSLOG:NOTICE:DAEMON
[domain_realm]
имялокальногодомена = ИМЯЛОКАЛЬНОГОДОМЕНА
.имялокальногодомена = ИМЯЛОКАЛЬНОГОДОМЕНА
[appdefaults]
pam = {
ticket_lifetime = 1d
renew_lifetime = 1d
forwardable = true
proxiable = false
retain_after_close = false
minimum_uid = 1
use_shmem = sshd
}
--------------------
wbinfo -u, -g , авторизация плейнтекстом wbinfo -a юзер%пароль - все ок.
id юзер - ок. Еще раз: БАЗОВАЯ авторизация доменного пользователя (squid.conf: auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic ) проходит на-ура!
внутрисетевые айпишники обоих контроллеров домена и самой прокси в hosts прописаны.
----------------------------
Прям не знаю, где и копать. Пытался искать в инете поиском по ошибке - ни-фи-га.
Есть мысли хоть какие-нибудь у почтеннейшего All'a? Я в курсе, что дядя Билли не рекомендует даже локальным доменам давать односложные имена, но так уж сложилось. Ну, у меня-то с доменом пытается работать, в данном случае, не биллино творение, а пингвин. Но, тем не менее - неужто такое имя может быть виновато? Поднимать еще один тестовый домен, честно говоря, очень не хочется.
Есть ли другой способ? Спасибо!
Да ещё и права надо проверить.