Squid & Active Directory

[paaaaede]

Hallo Zusammen

Ich habe schon x artikel und Forumeinträge gelesen und irgendwie weiss niemand was geht und was nicht.

Ich möchte die Squid User am AD Authentisieren. Kann ich dies mit Samba machen oder kann ich Samba nur bei einer NT Domäne nutzen ?
Was ist ein Standart in der Anbindung von Squid an das Active Directory?

Ich nutze RedHat Linux 9.0 (Cach Server), Microsoft Windo[f]ws 2003 Server (AD Server)

Squid Cache: Version 2.5.STABLE6
mit folgenden authentifikation options:

digest_pw_auth
getpwname_auth
msnt_auth
ncsa_auth
ntlm_auth
pam_auth
smb_auth


Squid läuft mit ncsa_auth ohne probleme.

Wähle ich smb_auth und teste den zugriff , bekomme ich diesen fehler:

das proxyauth file habe ich erstellt.

[root@cachi sbin]# ./smb_auth -W olymp.com -U 192.10.15.8 -d
paaaade xxxxxxx
Domain name: olymp.dom
Pass-through authentication: no
Query address options: -U 192.10.15.8 -R
Domain controller IP address:
ERR

 

[damager]

blöde frage:
müsste unter "Domain controller IP address" nicht die adresse des ad-servers stehen?
der ist doch für die authentifizierung zuständig...

 

[netsurfer2000]

blöde frage:
müsste unter "Domain controller IP address" nicht die adresse des ad-servers stehen?
der ist doch für die authentifizierung zuständig...

´

hätte ich jetzt spontan auch gesagt!

 

[paaaaede]

Nt_status_access_denied

Ich arbeite mit der anleitung von der webseite:
http://www.squid-cache.org/Doc/FAQ/FAQ-23.html#ss23.5

wenn ich mich an der domain anmelden möchte, bekomme ich immer diese meldung:

smbpasswd -j mydomain.com -r 192.10.15.8 -U apatrik
Password:
Error connecting to 192.10.15.8 - NT_STATUS_ACCESS_DENIED


Obwohl ich Domain Admin bin bekomme ich ein NT_STATUS_ACCESS_DENIED.
An was könnte dies liegen?

 

[paaaaede]

blöde frage:
müsste unter "Domain controller IP address" nicht die adresse des ad-servers stehen?
der ist doch für die authentifizierung zuständig...

nein, das ist die rückgabe auf der command line

 

[paaaaede]

wenn ich mich jedoch mit einem ungültigen user und pw anmelde bekomme ich eine andere meldung: NT_STATUS_LOGON_FAILURE

das heisst er kennt meinen user, möchte ich eine windows maschine an die ad domain anbinden klappt das ohne probleme....

 

[khs]

Encrypted Passwords? Nur mal so ins Blaue...
Allerdings habe ich mich mit Domain Logons auch mal sehr lange rumgequaelt, mit dem Ergebnis, dass es so, wie ich es vorhatte, nicht geht. Samba brachte einen semi-reproduzierbaren Fehler, der man am einen und mal am anderen Rechner im Netz zuschlug, jedoch immer an mindestens einem.
Dass dein Fehler also ein Samba-Bug sein koennte, ist auch nicht auszuschliessen...

Schonmal mitgecaptured (tcpdump) und debug level in der smb.conf hochgeschraubt? Irgendwas verwertbares?

-khs

 

[damager]

wenn ich mich jedoch mit einem ungültigen user und pw anmelde bekomme ich eine andere meldung: NT_STATUS_LOGON_FAILURE

das heisst er kennt meinen user, möchte ich eine windows maschine an die ad domain anbinden klappt das ohne probleme....

was sagt das windows-eventlog (unter "security")?

 

[paaaaede]

hmm nichts!

 

[damager]

hmmm...dann kommt auch wohl nichts bei ihm an oder er logt es nicht mit?
wie ist das auditing eingestellt auf dem windows-server (stichwort "local security policy")?
dort "account logon events" einschalten.

 

[paaaaede]

hallo zusammen

wenn ich ./net rpc join -S 192.10.15.8 -U patrik

ausführe bekomme ich folgene fehlermeldung(server = win2003 mit ADS):

#./net rpc join -S 192.10.15.8 -U patrik
[2005/01/15 15:42:36, 0] rpc_client/cli_netlogon.c:cli_nt_setup_creds(256)
cli_nt_setup_creds: request challenge failed
Password:
[2005/01/15 15:42:41, 0] rpc_client/cli_netlogon.c:cli_nt_setup_creds(256)
cli_nt_setup_creds: request challenge failed
[2005/01/15 15:42:41, 0] utils/net_rpc_join.c:net_rpc_join_newstyle(319)
Error domain join verification (reused connection): NT_STATUS_INVALID_COMPUTER_NAME

Unable to join domain MyDomain.

 

[paaaaede]

Lösung gefunden: ./net rpc join -S 192.10.15.8 -U patrik

Windows will den Hostname des PDC und keine IP.... ich hasse windoofdd