LAB Linux in heterogenen Netzen Squid KERBEROS: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
(Die Seite wurde neu angelegt: „== Installation und Konfiguration von Squid mit Kerberos-Authentifizierung == === Voraussetzungen === * Ein Linux-Server (Debian/Ubuntu oder eine andere Distr…“)
 
 
(26 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
−
== Installation und Konfiguration von Squid mit Kerberos-Authentifizierung ==
+
=Ziel=
 +
*Wir wollen Proxy Server aufsetzen
 +
*Dieser soll in der AD registriert sein
 +
*Die Anbindung soll auch über Kerberos erfolgen
 +
*Nur an der Domain angemeldete Benutzer sollen Squid nutzen dürfen-
 +
=Aus dem Debian Template einen Klon erstellen=
 +
*Name: proxy
 +
*Netz: dmz
 +
*HOSTS: proxy.lab34.linuggs.de
 +
*IPv4:  172.26.55.15/24
 +
*GWv4:  172.26.55.1
 +
*NSv4:  172.26.54.2
 +
*DOM:  proxy.linuggs.de
 +
*HOSTS: mail.lab34.linuggs.de
 +
*IPv6:  2a02:24d8:71:3037::15/64
 +
*GWv6:  2a02:24d8:71:3037::1
 +
*NSv6:  2a02:24d8:71:3036::2
 +
*DOM:  lab34.linuggs.de
 +
=Auf dem DC=
 +
*A-Record und AAAA-Record anlegen
 +
*PTR erzeugen lassen
 +
==Squid erste Schritte==
 +
*[[Squid erste Schritte]]
 +
==Squid https aufbrechen==
 +
*[[LAB Linux in heterogenen Netzen Squid https aufbrechen]]
 +
*[[Squid und ClamAV]]
  
−
=== Voraussetzungen ===
+
== Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm ==
−
* Ein Linux-Server (Debian/Ubuntu oder eine andere Distribution)
+
*[[Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm]]
−
* Zugriff auf einen Active Directory-Domänencontroller
+
[[Kategorie:PROXY]]
−
* Administratorrechte auf dem Proxy-Server
+
[[Kategorie:SQUID]]
−
 
+
[[Kategorie:KERBEROS]]
−
=== Installation der erforderlichen Pakete ===
+
[[Kategorie:SSL]]
−
Installieren Sie die erforderlichen Pakete auf dem Proxy-Server:
 
−
 
 
−
<pre>
 
−
sudo apt update
 
−
sudo apt install squid krb5-user libkrb5-dev
 
−
</pre>
 
−
 
 
−
=== Kerberos-Konfiguration ===
 
−
Bearbeiten Sie die Kerberos-Konfigurationsdatei /etc/krb5.conf:
 
−
 
 
−
<pre>
 
−
sudo nano /etc/krb5.conf
 
−
</pre>
 
−
 
 
−
Fügen Sie Folgendes hinzu oder passen Sie die Datei entsprechend an:
 
−
 
 
−
<pre>
 
−
[libdefaults]
 
−
    default_realm = LAB34.LINUGGS.DE
 
−
    dns_lookup_realm = true
 
−
    dns_lookup_kdc = true
 
−
 
 
−
[realms]
 
−
    LAB34.LINUGGS.DE = {
 
−
        kdc = 10.114.214.101
 
−
        admin_server = 10.114.214.101
 
−
    }
 
−
 
 
−
[domain_realm]
 
−
    .lab34.linuggs.de = LAB34.LINUGGS.DE
 
−
    lab34.linuggs.de = LAB34.LINUGGS.DE
 
−
</pre>
 
−
 
 
−
=== Erstellen einer Keytab-Datei ===
 
−
Führen Sie die folgenden Befehle auf dem Active Directory-Domänencontroller aus, um einen Kerberos-Service Principal Name (SPN) zu erstellen und eine Keytab-Datei zu generieren:
 
−
 
 
−
* Erstellen Sie ein Benutzerkonto für den Proxy (falls nicht vorhanden):
 
−
 
 
−
<pre>
 
−
New-ADUser -Name "squid-user" -UserPrincipalName "squid-user@LAB34.LINUGGS.DE" -AccountPassword (ConvertTo-SecureString "your_password" -AsPlainText -Force) -Enabled $true
 
−
</pre>
 
−
 
 
−
* Fügen Sie den SPN hinzu:
 
−
 
 
−
<pre>
 
−
setspn -A HTTP/proxy.lab34.linuggs.de squid-user
 
−
</pre>
 
−
 
 
−
* Erstellen Sie die Keytab-Datei:
 
−
 
 
−
<pre>
 
−
ktpass -princ HTTP/proxy.lab34.linuggs.de@LAB34.LINUGGS.DE -mapuser squid-user@LAB34.LINUGGS.DE -crypto AES256-SHA1 -ptype KRB5_NT_PRINCIPAL -pass * -out /etc/squid/PROXY.keytab
 
−
</pre>
 
−
 
 
−
=== Konfiguration von Squid ===
 
−
Bearbeiten Sie die Squid-Konfigurationsdatei /etc/squid/squid.conf:
 
−
 
 
−
<pre>
 
−
sudo nano /etc/squid/squid.conf
 
−
</pre>
 
−
 
 
−
Fügen Sie die folgenden Zeilen hinzu, um Kerberos-Authentifizierung und Gruppenmitgliedschaft zu konfigurieren:
 
−
 
 
−
<pre>
 
−
auth_param negotiate program /usr/local/libexec/squid/negotiate_kerberos_auth -d -s HTTP/proxy.lab34.linuggs.de
 
−
auth_param negotiate children 1000
 
−
auth_param negotiate keep_alive on
 
−
 
 
−
external_acl_type kerberos_group ttl=3600 negative_ttl=3600 %LOGIN /usr/local/libexec/squid/ext_kerberos_ldap_group_acl -a -g lg_proxy -D LAB34.LINUGGS.DE
 
−
 
 
−
acl auth proxy_auth REQUIRED
 
−
acl GroupProxy external kerberos_group
 
−
 
 
−
http_access deny !auth
 
−
http_access allow GroupProxy auth
 
−
http_access deny all
 
−
</pre>
 
−
 
 
−
=== Neustart des Squid-Dienstes ===
 
−
Speichern Sie die Änderungen und starten Sie den Squid-Dienst neu:
 
−
 
 
−
<pre>
 
−
sudo systemctl restart squid
 
−
</pre>
 
−
 
 
−
=== Testen der Konfiguration ===
 
−
* Überprüfen Sie den Zugriff mit einem Benutzer, der Mitglied der Gruppe lg_proxy ist, um sicherzustellen, dass der Zugriff gewährt wird.
 
−
* Testen Sie den Zugriff mit einem Benutzer, der nicht in der Gruppe ist, um sicherzustellen, dass der Zugriff verweigert wird.
 
−
 
 
−
=== Fehlerbehebung ===
 
−
* Überprüfen Sie die Logs unter /var/log/squid/cache.log, um Authentifizierungsfehler oder andere Probleme zu identifizieren.
 
−
* Stellen Sie sicher, dass der Benutzer korrekt in der AD-Gruppe lg_proxy ist und dass die Keytab-Datei die richtigen SPNs enthält.
 

Aktuelle Version vom 14. Oktober 2024, 16:22 Uhr

Ziel

  • Wir wollen Proxy Server aufsetzen
  • Dieser soll in der AD registriert sein
  • Die Anbindung soll auch über Kerberos erfolgen
  • Nur an der Domain angemeldete Benutzer sollen Squid nutzen dürfen-

Aus dem Debian Template einen Klon erstellen

  • Name: proxy
  • Netz: dmz
  • HOSTS: proxy.lab34.linuggs.de
  • IPv4: 172.26.55.15/24
  • GWv4: 172.26.55.1
  • NSv4: 172.26.54.2
  • DOM: proxy.linuggs.de
  • HOSTS: mail.lab34.linuggs.de
  • IPv6: 2a02:24d8:71:3037::15/64
  • GWv6: 2a02:24d8:71:3037::1
  • NSv6: 2a02:24d8:71:3036::2
  • DOM: lab34.linuggs.de

Auf dem DC

  • A-Record und AAAA-Record anlegen
  • PTR erzeugen lassen

Squid erste Schritte

Squid https aufbrechen

Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm

Abgerufen von „http://wiki.ixheim.de/index.php?title=LAB_Linux_in_heterogenen_Netzen_Squid_KERBEROS&oldid=57643“