Keine Proxy-Authentifizierung möglich

[Rüdiger Kupper]

Versucht man derzeit auf Seiten außerhalb des Kepler-Netzwerks zuzugreifen, funktioniert die Authentifizierung am Proxy nicht: Der Browser fragt immer wieder erneut nach dem Passwort.

[Rüdiger Kupper]

Habe den ipfire neu gestartet -- keine Veränderung

[Rüdiger Kupper]

Habe den squid auf proxy.kg-fds.de neu gestartet -- keine Veränderung

[Rüdiger Kupper]

slapd neu gestartet, auch kein Effekt.
Warum verweigert der squid den Zugriff?

[Rüdiger Kupper]

Mir gelingt auch kein Zugang von außen über VPN.

[Rüdiger Kupper]

Korrektur: VPN funktioniert.

[Rüdiger Kupper]

Neustart des Apache hat das Problem gelöst! Ursache unbekannt.

[bau]

Problem hängt mit einem anderen zusammen, das mich gestern genervt hat - aber vielleicht hat sich das jetzt auch gelöst: Beim Login an der Domäne KEPLER wurden nur noch die Homeverzeichnisse H: eingebunden, die Verzeichnisse P: (\\paedml\pgm\ ist /home/samba/progs) und R: (\\paedml\cdrom ist /home/samba/cds) wurden nicht mehr verbunden. Beim Versuch, die Verzeichnisse per Hand zu verbinden kam eine ominöse Fehlermeldung. Die Authentifizierung des squid funktionert derzeit per squid_smb_auth gegen den Samba-Server. Ich will schon seit dem Kauf des LDAP-Buches die Auth mal gegen den LDAP direkt machen.

[bau]

Proxy-Authentifizierung ist nun auf LDAP direkt gegen paedml umgestellt - muss noch getestet werden!
Dazu ist auf dem paedml in der /etc/ldap/slapd.conf die IP des Abfragenden Servers einzutragen, das Programm auf dem ProxyS in der /etc/squid/squid.conf aufzurufen:

auth_param basic program /usr/lib/squid/ldap_auth -b ou=accounts,dc=kg-fds,dc=de -f uid=%s -h 10.32.1.1 -p389 -v 3

Testen kann man das Programm an der Kommandozeile mit

/usr/lib/squid/ldap_auth -b ou=accounts,dc=kg-fds,dc=de -f uid=%s -h paedml.kg-fds.de -p389 -v 3 -d

Nach Eingabe eines Benutzernamens [Leerzeichen] Passwort [Enter] muss ein OK kommen

[Rüdiger Kupper]

Gut! Wenn's läuft, am besten kurz dokumentieren auf AdminLdap und/oder AdminProxy.

[bau]

Proxy-Auth direkt gegen LDAP funktioniert nun (getestet) prächtig!
Dokumentiert habe ich das unter AdminLdap.

[Rüdiger Kupper]

Super!

Am 31.10.2013 21:02, schrieb Kepler-Trac:

[bau]

Es verbleibt nun ein Problem des proxyL:

• Im Browser ist das WPAD-Verfahren von uns so eingetragen, dass es beim Start des Browsers automatisch wiederhergestellt wird (automatische Suche der Einstellungen)
• Die Einstellungen befinden sich im HomeVZ des Users unter /einstellungen/firefox und gelten sowohl im Lehrernetz, als auch im Schülernetz
• in beiden Netzen gibt der DNS den richtigen wpad.kg-fds.de an und dieser die wpad.dat in der steht, wie es ins Netz geht
• im Schülernetz zeigt die wpad.dat je nach IP des Clients den Weg, für LTSP-Clients z.B. über den proxys
• Für Schüler ist dies korrekt
• für Lehrer wäre nun der Weg über proxyL sinnvoller, ich frage mich nur, wie ich das in die wpad.dat verpacken kann
• Lösungsansatz war: über Javascript/localstorage eine Variable im Browser sichern und im wpad.dat-Script abfragen - anscheinend geht das aber nicht
• eventuell kann das Script ein Cookie abfragen - mal probieren
• irgendwoher muss das Script halt wissen, dass ein Lehrer vor der Kiste sitzt

Alternativ-Idee:
wir tragen bei Lehrern manuell den Proxy ein (also proxyl.kg-fds.de) und der DNS im jeweiligen Netz löst den Proxynamen richtig auf - bei Schülern lassen wir es wie es ist. Dann funktioniert das WPAD-Verfahren nach wie vor auf den Laptops der Kollegen, auf stationären Clients geht's über den proxyl ins Netz.
Ich denke, so machen wir das!

Änderungen:

• Squid auf ProxyL lauscht auch auf Port 8080, weil der Proxy von BelWUE im Lehrernetz auf 8080 lauscht
• unter /etc/skel-teachers-mandatory/einstellungen/firefox habe ich in die user.js eingefügt:

  user_pref("network.proxy.ftp", "proxyl.kg-fds.de");
  user_pref("network.proxy.ftp_port", 8080);
  user_pref("network.proxy.http", "proxyl.kg-fds.de");
  user_pref("network.proxy.http_port", 8080);
  user_pref("network.proxy.socks", "proxyl.kg-fds.de");
  user_pref("network.proxy.socks_port", 8080);
  user_pref("network.proxy.ssl", "proxyl.kg-fds.de");
  user_pref("network.proxy.ssl_port", 8080);
  
  user_pref("network.proxy.type", 1);
  user_pref("network.proxy.no_proxies_on", "localhost, 127.0.0.1, db.kg-fds.de, paedml.kg.fds.de");
  user_pref("network.proxy.share_proxy_settings", true);
  

Ich habe grade per

deploy-skeleton bau 

die Datei in mein HomeVZ geschickt, leider erzeugte das deploy-skeleton -t nur Fehlermeldungen - kannst du das bitte übernehmen?

[Rüdiger Kupper]

Replying to bau:

Ich habe grade per

deploy-skeleton bau 

die Datei in mein HomeVZ geschickt, leider erzeugte das deploy-skeleton -t nur Fehlermeldungen - kannst du das bitte übernehmen?

Der Befehl erwartet noch den Pfad des Verzeichnisses, das er verteilen soll (relativ zum Homeverzeichnis). Wenn Du das komplette Skelett verteilen willst ist der Aufruf also

deploy-skeleton . bau

bzw

deploy-skeleton -t .

Der Punkt ist wichtig :-). Ich könnte das Skript aber auch mal so verändern, dass es den Punkt als Default nimmt, wenn man nichts weiter angibt.

[bau]

OK, das ließ sich nun austeilen.
Das Script meckerte zwar immer, dass unter skel-teachers-default/einstellungen nichts zu finden sei, die skel-teachers-mandatory/einstellungen/firefox hat er aber anscheinend rausgeworfen. Ich muss das nur noch ein wenig testen - ob es auch wirklich tut :-)