LAB Linux in heterogenen Netzen Squid KERBEROS: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(24 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt)
Zeile 1: Zeile 1:
 +
=Ziel=
 +
*Wir wollen Proxy Server aufsetzen
 +
*Dieser soll in der AD registriert sein
 +
*Die Anbindung soll auch über Kerberos erfolgen
 +
*Nur an der Domain angemeldete Benutzer sollen Squid nutzen dürfen-
 +
=Aus dem Debian Template einen Klon erstellen=
 +
*Name: proxy
 +
*Netz: dmz
 +
*HOSTS: proxy.lab34.linuggs.de
 +
*IPv4:  172.26.55.15/24
 +
*GWv4:  172.26.55.1
 +
*NSv4:  172.26.54.2
 +
*DOM:  proxy.linuggs.de
 +
*HOSTS: mail.lab34.linuggs.de
 +
*IPv6:  2a02:24d8:71:3037::15/64
 +
*GWv6:  2a02:24d8:71:3037::1
 +
*NSv6:  2a02:24d8:71:3036::2
 +
*DOM:  lab34.linuggs.de
 +
=Auf dem DC=
 +
*A-Record und AAAA-Record anlegen
 +
*PTR erzeugen lassen
 +
==Squid erste Schritte==
 +
*[[Squid erste Schritte]]
 +
==Squid https aufbrechen==
 +
*[[LAB Linux in heterogenen Netzen Squid https aufbrechen]]
 +
*[[Squid und ClamAV]]
 +
 
== Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm ==
 
== Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm ==
−
 
+
*[[Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm]]
−
=== Voraussetzungen ===
+
[[Kategorie:PROXY]]
−
* Ein Linux-Server (Debian/Ubuntu oder eine andere Distribution)
+
[[Kategorie:SQUID]]
−
* Zugriff auf einen Active Directory-Domänencontroller
+
[[Kategorie:KERBEROS]]
−
* Administratorrechte auf dem Proxy-Server
+
[[Kategorie:SSL]]
−
 
 
−
=== Installation der erforderlichen Pakete ===
 
−
Installieren Sie die erforderlichen Pakete auf dem Proxy-Server:
 
−
 
 
−
<pre>
 
−
sudo apt update
 
−
sudo apt install samba realmd sssd adcli
 
−
</pre>
 
−
 
 
−
=== Konfiguration von Samba ===
 
−
Bearbeiten Sie die Samba-Konfigurationsdatei /etc/samba/smb.conf:
 
−
 
 
−
<pre>
 
−
sudo nano /etc/samba/smb.conf
 
−
</pre>
 
−
 
 
−
Fügen Sie die folgenden Zeilen hinzu oder passen Sie die Datei entsprechend an:
 
−
 
 
−
<pre>
 
−
[global]
 
−
  workgroup = LAB34
 
−
  realm = LAB34.LINUGGS.DE
 
−
  security = ADS
 
−
  kerberos method = secrets and keytab
 
−
  log file = /var/log/samba/%m.log
 
−
  max log size = 50
 
−
</pre>
 
−
 
 
−
=== Beitritt zur Active Directory-Domäne ===
 
−
Verwenden Sie den `realm`-Befehl, um den Proxy-Server der AD-Domäne beizutreten:
 
−
 
 
−
<pre>
 
−
sudo realm join --user=Administrator LAB34.LINUGGS.DE
 
−
</pre>
 
−
 
 
−
Geben Sie das Passwort für den Benutzer Administrator ein, wenn Sie dazu aufgefordert werden.
 
−
 
 
−
=== Kerberos-Konfiguration ===
 
−
Überprüfen Sie die Kerberos-Konfigurationsdatei /etc/krb5.conf:
 
−
 
 
−
<pre>
 
−
sudo nano /etc/krb5.conf
 
−
</pre>
 
−
 
 
−
Stellen Sie sicher, dass die Datei wie folgt aussieht:
 
−
 
 
−
<pre>
 
−
[libdefaults]
 
−
    default_realm = LAB34.LINUGGS.DE
 
−
    dns_lookup_realm = true
 
−
    dns_lookup_kdc = true
 
−
 
 
−
LAB34.LINUGGS.DE = {
 
−
    kdc = win2022.lab34.linuggs.de
 
−
    admin_server = win2022.lab34.linuggs.de
 
−
}
 
−
 
 
−
 
 
−
[domain_realm]
 
−
    .lab34.linuggs.de = LAB34.LINUGGS.DE
 
−
    lab34.linuggs.de = LAB34.LINUGGS.DE
 
−
</pre>
 
−
 
 
−
=== Erstellen einer Keytab-Datei ===
 
−
Verwenden Sie `net ads` oder `msktutil`, um eine Keytab-Datei zu erstellen:
 
−
 
 
−
<pre>
 
−
sudo net ads keytab add HTTP/proxy.lab34.linuggs.de -U Administrator
 
−
</pre>
 
−
 
 
−
Geben Sie das Passwort für den Benutzer Administrator ein, wenn Sie dazu aufgefordert werden.
 
−
 
 
−
=== Konfiguration von Squid ===
 
−
Bearbeiten Sie die Squid-Konfigurationsdatei /etc/squid/squid.conf:
 
−
 
 
−
<pre>
 
−
sudo nano /etc/squid/squid.conf
 
−
</pre>
 
−
 
 
−
Fügen Sie die folgenden Zeilen hinzu:
 
−
 
 
−
<pre>
 
−
auth_param negotiate program /usr/lib/squid/negotiate_kerberos_auth -d -s HTTP/proxy.lab34.linuggs.de
 
−
auth_param negotiate children 1000
 
−
auth_param negotiate keep_alive on
 
−
 
 
−
external_acl_type kerberos_group ttl=3600 negative_ttl=3600 %LOGIN /usr/lib/squid/ext_kerberos_ldap_group_acl -a -g lg_proxy -D LAB34.LINUGGS.DE
 
−
 
 
−
acl auth proxy_auth REQUIRED
 
−
acl GroupProxy external kerberos_group
 
−
 
 
−
http_access deny !auth
 
−
http_access allow GroupProxy auth
 
−
http_access deny all
 
−
</pre>
 
−
 
 
−
=== Neustart des Squid-Dienstes ===
 
−
Speichern Sie die Änderungen und starten Sie den Squid-Dienst neu:
 
−
 
 
−
<pre>
 
−
sudo systemctl restart squid
 
−
</pre>
 
−
 
 
−
=== Testen der Konfiguration ===
 
−
* Überprüfen Sie den Zugriff mit einem Benutzer, der Mitglied der Gruppe lg_proxy ist, um sicherzustellen, dass der Zugriff gewährt wird.
 
−
* Testen Sie den Zugriff mit einem Benutzer, der nicht in der Gruppe ist, um sicherzustellen, dass der Zugriff verweigert wird.
 
−
 
 
−
=== Fehlerbehebung ===
 
−
* Überprüfen Sie die Logs unter /var/log/squid/cache.log, um Authentifizierungsfehler oder andere Probleme zu identifizieren.
 
−
* Stellen Sie sicher, dass der Benutzer korrekt in der AD-Gruppe lg_proxy ist und dass die Keytab-Datei die richtigen SPNs enthält.
 

Aktuelle Version vom 14. Oktober 2024, 16:22 Uhr

Ziel

  • Wir wollen Proxy Server aufsetzen
  • Dieser soll in der AD registriert sein
  • Die Anbindung soll auch über Kerberos erfolgen
  • Nur an der Domain angemeldete Benutzer sollen Squid nutzen dürfen-

Aus dem Debian Template einen Klon erstellen

  • Name: proxy
  • Netz: dmz
  • HOSTS: proxy.lab34.linuggs.de
  • IPv4: 172.26.55.15/24
  • GWv4: 172.26.55.1
  • NSv4: 172.26.54.2
  • DOM: proxy.linuggs.de
  • HOSTS: mail.lab34.linuggs.de
  • IPv6: 2a02:24d8:71:3037::15/64
  • GWv6: 2a02:24d8:71:3037::1
  • NSv6: 2a02:24d8:71:3036::2
  • DOM: lab34.linuggs.de

Auf dem DC

  • A-Record und AAAA-Record anlegen
  • PTR erzeugen lassen

Squid erste Schritte

Squid https aufbrechen

Integration des Proxy-Servers in die Active Directory-Domäne mit Samba und Realm

Abgerufen von „http://wiki.ixheim.de/index.php?title=LAB_Linux_in_heterogenen_Netzen_Squid_KERBEROS&oldid=57643“