Показывай весь конфиг(включая описание всех ACL), может у тебя где-то до этого авторизация стреляет.

Подскажите тогда, как здесь исходник правильно вставить? Чтобы абракадабры такой не было, как у меня выше

https://pastebin.com/yFRJqJM8

Скопировал конфиг сюда

Идем в гугл и читаем:

ext_kerberos_ldap_group_acl is an installed binary and allows Squid to connect to a LDAP directory to authorize users via LDAP groups. Options are specified as parameters on the command line, while the username (e.g. user , user@REALM , NDOMAINser ) to be checked against the LDAP directory are specified on subsequent lines of input to the helper, one username per line.

Если в кратце - твои ACL squid_allow и squid_deny требуют на вход комбинацию логин/пароль для проверки принадлежности к группе.

Если мне не изменяет память - авторизацию пара логин/пароль переданная в helper нигде не кэшируется(успешная пара логин/пароль, прошедшая авторизацию, кэшируется в браузере), так что в худшем случае(когда пользователь не состоит ни в группе squid_allow, ни в группе squid_deny) - у него спросят пароль ДВАЖДЫ и только потом будет отлуп

Вообще зачем тебе группа squid_deny? Судя по текущим раскомментированным правилам она тебе нафиг не нужна - разрешай доступ в интернет пользователям из определенной группы(там всё равно будет требоваться basic-авторизация, если Kerberos не отработает - например на Windows-машинах не в домене), остальные пусть падают на deny all

Или опиши задачу полностью словами, если текущие правила в конфиге ее не реализуют.

У меня задача в следующем состоит. Определенным пользователям нужно полностью заблочить интернет, возможно разрешив несколько сайтов, они (пользователи) будут находиться в группе squid_deny. Все остальные просто ходят через прокси с разрешенным интернетом, они в группе squid_allow. Просто тем, кто в squid_allow не предлагает пройти авторизацию, то есть керберос вроде как отрабатывает.

Связь с AD проверял этими командами, все ОК.

Проверка Kerberos: /usr/lib64/squid/ext_kerberos_ldap_group_acl -a -i -g squid_deny -D AX.LOC

Проверка LDAP: /usr/lib64/squid/ext_ldap_group_acl -b «dc=ax,dc=loc» -P -R -K -D «squid@ax.loc» -w «squid» -f «(&(objectclass=person)(sAMAccountName=%v)(memberOf=cn=%g,OU=groups,DC=ax,DC=loc))» -h dc-01.ax.loc

Не могу понять, почему заблоченные пользователи вместо ошибки страницы видят это окошко с авторизацией, как это все-таки сделать правильно?

В одной из статей в комментариях увидел похожую проблему у человека, но не очень понял в чем взаимосвязь.

"Решил проблемку)) пол дня возился, а тут за пару минут заработало. Последние 5 строк http_access: Было вот так: http_access allow INTERNET Safe_ports http_access allow localhost http_access deny CONNECT http_access deny manager http_access deny all

Поднял последнюю строчку выше, стало так: http_access allow INTERNET Safe_ports http_access allow localhost http_access deny all http_access deny CONNECT http_access deny manager

Да, конечно можно сделать только одну группу пользователей squid_allow с разрешенным интернетом, а остальным по дефолту все блочить - эта схема работает, да. Но все-таки хочется и группу запрета иметь, чтобы добавлять туда неугодных пользователей и более гибко настраивать списки сайтов и т.д.

Так, давай по порядку, делаешь список http_access вот так(порядок важен!). Все остальные строчки с http_access КОММЕНТИРУЕШЬ):

http_access deny squid_deny
http_access allow squid_allow
http_access deny all

Дальше, пробуешь авторизоваться пользователем из группы squid_allow, показываешь логи сквида.

Потом пробуешь тоже самое сделать от squid_deny - и снова показываешь логи

Для простоты пока давай забудем про Kerberos на клиентах, пробуй авторизацию через squidclient с самого сервера проверить(поэтому я выкинул правило разрешающее всё с localhost)

Странно, что у разрешенного пользователя в логах довольно много строчек TCP_DENIED, хотя интернет полностью разрешен

Логи пользователя (squid), который находится в группе SQUID_FullAccess (я переименовал squid_allow в SQUID_FullAccess) https://pastebin.com/5dUAarAp

Логи пользователя (test), который находится в группе SQUID_BlockedAccess (я переименовал squid_deny в SQUID_BlockedAccess) https://pastebin.com/uh92QbfZ

На всякий случай еще раз скину обновленный конфиг

https://pastebin.com/iwpE1XqG

Нашел обходной путь, этакий костыль, как это можно сделать. Если навесить на SQUID_BlockedAccess 1) acl Time time 0:00-23:59 2) http_access deny SQUID_BlockedAccess Time, то в принципе схема работает. Но опять таки, хочется конечно понять в чем причина выскакивающего окошка с авторизацией, если стоит условие http_access deny SQUID_BlockedAccess

Надо врубать отладку хелпера, возможно баг

По логам для SQUID_BlockedAccess кажется будто авторизация тупо не проходит(до squid не доходит логин пользователя)

Если проверку делал с реальной машины(а не через squidclient) и прокси прописан глобально в системе, то там могут ломиться все кому не лень(а не только браузер). Только вот логин/пароль ты вводил в браузере

А как отладку включить? Ключ -d?

По идее да, squid эти сообщения сам должен запихать в лог(смотря как он у тебя настроен), по умолчанию оно должно по идее в cache.log свалиться

в cache.log очень часто фигурирует вот это:

https://pastebin.com/aCd4ak9i

Получается, negotiate_kerberos_auth не может стартануть по каким-то причинам?

раз в секунду и количество не выше 1/30... да, похоже лучше включить отладку и в нём и посмотреть что там не так

Добавил в squid.conf строку debug_options ALL,1 33,3 28,9

Очистил полностью cache.log и зашел через пользователя с запрещенным интернетом на один сайт, вот что получилось в логах:

https://pastebin.com/VQtxCWgL

На что здесь обратить внимание? Слишком длинная простыня получилась.

https://pastebin.com/VQtxCWgL
This page is no longer available. It has either expired, been removed by its creator, or removed by one of the Pastebin staff.

Видимо слишком длинный получился текст

Загрузил на файлообменник

https://dropmefiles.com/ThiG0

Ты, наверное, будешь нервно смеяться, но:

Файлы были удалены из-за достижения лимита на количество скачиваний

Я, если что, только один раз по ссылке перешел - и там уже такое

Да что за наваждение)

Теперь точно даст скачать

https://dropmefiles.com/WvAiM

Но вот опять же, если бы керберос не работал, то allow группы так же запрашивали авторизацию, а ее просят только те группы, на которые падает условие deny, вот что странно. Такая же картина, если deny навесить на список сайтов

Видимо придется ограничиться условием deny Time 0:00-23:59

А какая версия squid?

3.5.20

Это последняя версия на сегодняшний день?

Посмотрел версии, она от 1 июля 2016 года, а с тех пор более новые уже вышли. Это может быть причиной?

Есть ли в ней какой-то баг в Kerberos - затрудняюсь сказать, быстрый гуглинг ничего такого не выдает. Но если есть возможность обновить - лучше обновить

Update: судя по Changelog фиксы для ext_kerberos_ldap_group_acl точно были

Подскажите в таком случае еще такой момент, скачал с сайта wget’ом нужный архив, распаковал, а как его дальше поверх установить? Или это я скачал исходники, и мне сейчас нужно как-то собрать сквид на их основе?

Мммм... я бы не советовал собирать руками, лучше из пакетов ставить. Что за дистрибутив стоит на сервере? Может можно обновить его? Хотя squid 2016 года разлива намекает, что не обновлялись ОЧЕНЬ ДОЛГО

Вот тоже непонятно, стоит Сentos7, разумеется перед началом я обновлял систему (yum update), может репозитории какие-то нужно подключать, чтобы он последнюю версию скачал?

Я под это дело тестовую виртуалку организовал

3.5.20-17 - последняя версия в дистрибутиве CentOS 7, судя по всему. 17 - это количество бэкпортов от самой CentOS, так что совсем критические ошибки там должны исправляться.

Можно подключить репозитарий от авторов squid, правда неофициальный, там будет четвертый squid

Поставил Ubuntu-Server 20.04.2, у squid версия 4.10 Точно такая же проблема :с

В cache.log вот такие значения: https://pastebin.com/ZBqHPRTQ

Можно вообще как-то проверить, есть ли связь с группой в AD?