squid ntlm прозрачная авторизация - решение.

[Андрей Тр. aka RH]

Такой метод ( проверять IP у пользователя ) вполне реален, и даже описан здесь : Seamless Authentication with the Squid Proxy. На первый взгляд, меня в нем не устраивают две вещи. 1) необходимость некоего скрипта ( в приведенной статье - перлового ), который бы по LDAP-запросу возвращал IP и 2) при большом TTL возможны ситуации, когда пользователь уже отлогинился, на этом IP появился другой, которого Сквид еще пускает в Инет. При уменьшении TTL возрастает частота запросов тех самых IP.

Хотя у этого метода есть и преимущество - он не зависит от браузера и от платформы. То есть работать будет и там, где новелловского клиента нет вообще - например, на Маках .. вероятно, даже на PDA и пр. Метод с NTLM в целом кажется "правильней", т.к. основан на том, что Сквид уже и так "понимает" в качестве источника аутентификации ( и никаких самописных примочек не требуется ). Что, впрочем, налагает свои ограничения на сам метод - т.к. используется NTLM.

[Иван Левшин aka Ivan L.]

Такой метод ( проверять IP у пользователя ) вполне реален, и даже описан здесь : Seamless Authentication with the Squid Proxy.

Прекрасный метод - однако есть вести с полей, которые неутешительны. Под большой нагрузкой выносит к чертовой матери едыр (сервер, который лдап-запросы обрабатывает, подвисает). НСМ использует именно такую авторизацию - на нем, собственно, и выяснилось.

"Нежнее нада... еще нежнее"

[Андрей Тр. aka RH]

Не понял - выносит из-за банальных запросов по ЛДАП для поиска конкретного атрибута конкретного пользователя ? Речь ведь даже не про аутентификацию. Насколько помню, Новеллом заявлялись вполне такие умопомрачительные характеристики своих ЛДАП-серверов. Причем ИМХО небезосновательно.

И что в таком случае понимается под большой нагрузкой ? Цифры в студию, пожалуйста.

[Иван Левшин aka Ivan L.]

Касаемо деталей сейчас ничего сказать не могу. Вопрос, что называется - в стадии изучения. Как данность - при разворачивании довольно крупных инсталляций NSM (крупных - масштаба, скажем, полутора-двух тысяч пользователей, из которых порядка 100-200 - одновременно подключались) столкнулись с проблемой, описанной мной. Разворачивал не я, сам лично столкнулся с выносом сервера с едир 8.8.2 в похожей ситуации (стоял стервер Apache2 под вендой, повис к такой-то матери, однако после этого в течение суток бомбардировал едыр запросами именно свойства "ищем пользователя по IP". В результате - в TCPCON висящие LDAP-коннекты в огромном количестве и отсутствие признаков жизни со стороны едыра. Сервант работает, но ни авторизовать, ни синхронизировать реплики - не может)
Пока из предварительного анализа могу сказать, что с полем NetworkAddress не все так просто - это динамическое шестнадцатеричное поле, которое новель категорически не рекомендует индексировать и устраивать по нему массированные поиски. Получаются Gory-процессы со всеми вытекающими. Так что, господа, изобретайте что-нибудь еще. Не зря же в новеле изобрели clntrust-технологию, а не тупо в лоб ищут в лдапе

Касаемо же "умопомрачительных характеристик" - а никто никого и не обманывает. Это действительно один из самых быстрых и надежных серверов в отрасли

P.S. С проблемами с НСМ сталкивался не я, до меня дошли только отголоски. Тогда (вроде бы) проводились эксперименты с едыром 8.7.3.х и на нетвари, и на линухе. И там, и там - грабли.

[Андрей Тр. aka RH]

Так что, господа, изобретайте что-нибудь еще. Не зря же в новеле изобрели clntrust-технологию, а не тупо в лоб ищут в лдапе

В общем-то по большому счёту этот метод - не замена clntrust, это скорее обходной маневр ( за неимением лучшей технологии - помимо предлагаемой NTLM-аутентификации, со своими минусами ). Но то, что еДир ведет себя так позорно при запросах такого рода - это нехорошо. Я бы понял, если б на запрос выдавались какие-то ошибки, или генерились ошибки в самом DS, но чтобы вешать саму службу каталогов .. это просто некрасиво. Надеюсь, индусы в будущем это дело поправят

Насчет изобретать .. что ж, можно и поизобретать. Например, насколько я понимаю, у каждого сервера с еДиром ( NW, Linux .. наверное, даже Win ) имеется таблица коннектов с залогиненными ( и просто приконнекченными ) пользователями. В этой таблице сопоставлены имя пользователя и его адрес ( в т.ч. IP ). Очевидно, каким-то способом эту инфу из этой таблицы можно извлечь - таким образом избегая ЛДАП запросов к еДиру. Сразу понятны ограничения - пользователь должен гарантированно присутствовать в таблице нужного сервера ( по ЛДАП можно опросить любой из имеющихся ЛДАП ). Но именно таким образом у нас PCounter считает задания печати, приходящие от Маков - там NLM смотрит в таблице коннектов, какой пользователь соответствует IP, с которого пришло задание. Потому как с Мака имя пользователя вместе с заданием печати не приходит.

Еще безумная идея - хранить имена пользователей и их IP в некоей БД Ну, например в той же мускульной базе на SLES. И синхронизировать атрибут IP при помощи IDM Нужно всего-то написать политику .. и купить database module. Хотя, теоретически, можно попробовать и простым IDM копировать атрибут IP в какой-то другой атрибут того же пользователя .. (?) уже в другом формате. Чтобы еДир от запросов к нему не вешался. Правда, еще не надо забывать, что у пользователей адресов может быть более одного ..

.. бардак, короче

[Иван Левшин aka Ivan L.]

В общем-то по большому счёту этот метод - не замена clntrust, это скорее обходной маневр ( за неимением лучшей технологии - помимо предлагаемой NTLM-аутентификации, со своими минусами ). Но то, что еДир ведет себя так позорно при запросах такого рода - это нехорошо. Я бы понял, если б на запрос выдавались какие-то ошибки, или генерились ошибки в самом DS, но чтобы вешать саму службу каталогов .. это просто некрасиво. Надеюсь, индусы в будущем это дело поправят

Андрей, я не понимаю - почему используются выражения навроде "позорно"? Предположения относительно генерации ошибок в ДС - это просто пять ИМХО повисший сервис проще и быстрее передернуть, чем потеть над исправлением ошибок в ДС - это раз. Два - если у тебя в инструкции к автомобилю написано "лить неэтилированный 95 бензин" - это считать позором автопроизводителя или как? Действительно - что за фигня?! Почему он не едет на солярке или, еще круче, на сырой нефти?

И - я же отметил, что эта информация в настоящее время не более, чем драфт. Несмотря на уверения товарища - я пока не нашел прямого подтверждения данного факта.

[Андрей Тр. aka RH]

Андрей, я не понимаю - почему используются выражения навроде "позорно"? Предположения относительно генерации ошибок в ДС - это просто пять ИМХО повисший сервис проще и быстрее передернуть, чем потеть над исправлением ошибок в ДС - это раз. Два - если у тебя в инструкции к автомобилю написано "лить неэтилированный 95 бензин" - это считать позором автопроизводителя или как? Действительно - что за фигня?! Почему он не едет на солярке или, еще круче, на сырой нефти?

И - я же отметил, что эта информация в настоящее время не более, чем драфт. Несмотря на уверения товарища - я пока не нашел прямого подтверждения данного факта.

Иван, ну ты же сам, наверное, видел цифирки в dstrace - типа -604, 604, 628 и т.п. Это и есть ошибки, они как раз и возникают в ситуациях, когда ds оказалась на что-то неспособна ( найти атрибут, например ). Если ты считаешь, что "проще передернуть сервис" ds на новельном сервере, то мне просто нечего добавить. И насколько часто ты собираешься это делать ? Это, конечно, метод, но желательно чтобы сервер все таки посреди рабочего дня не вставал колом - пусть даже и на полчаса.

Насчет бензина - буду благодарен, если ты мне укажешь, где именно "новель категорически не рекомендует индексировать и устраивать по нему массированные поиски." Такое где-то написано в доке по их ЛДАП серверу ? Если DS на сервере ( или даже сам сервер ?? ) можно завалить потоком ЛДАП-запросов ( "сервер, который лдап-запросы обрабатывает, подвисает)" ), то как тут еще выражаться ?

----------------------------------

По сабжу - я чего еще подумал : а если скрестить в одном флаконе вариант от v13 с NTLM и тот, который валит сервер и использовать второй метод только как запасной, и только после него уже - basic auth. Таким образом закрываем браузеры и платформы, не использующие NTLM, и заметно снижаем нагрузку на LDAP с поиском IP.

[Иван Левшин aka Ivan L.]

Андрей Тр. aka RH - давай так... Я сейчас занимаюсь именно этим вопросом - правда, он не на первой очереди Ежели что - пинай. Информация пока противоречива, четкого видения вопроса нет.

[v13]

Один мой клиент пытается настроить прозрачную авторизацию по приведенной схеме - имеется сервер OES2 SLES10 и на нем Squid2.6 плюс еДир на NW6.5SP6.

По ходу возникла пара вопросов. Каким образом компилять сквид, чтобы включить этот хелпер - ntlm_auth, там вроде есть 4 (?) варианта ? Типа smb, mswin и еще какие-то.

Я не пробовал такую комбинацию, но думаю, должно работать без проблем.
поставил сейчас из yast squid, /usr/sbin/ntlm-auth присутствует.
такчто компилировать чтото необходимости нет

И еще возникла небольшая проблема с CIFS. Завел шару на сервере, и юзеров из одного контейнера пускает, а из другого - нет. То есть у вторых не получается даже аутентифицироваться, а снова вылезает запрос имени/пароля. Когда-то давно ( когда еще CIFS рулился из С1 в свойствах сервера ) мне казалось, что где-то там имелся список OU с доступом к шаре. Но теперь в иМанагере я ничего подобного не нашел.

подредактируй
\\nwserver\sys\ETC\cifsctxs.cfg
и перезапусти cifs (cifsstop,cifsstrt)

[v13]

Такой метод ( проверять IP у пользователя ) вполне реален, и даже описан здесь : Seamless Authentication with the Squid Proxy.

Прекрасный метод - однако есть вести с полей, которые неутешительны. Под большой нагрузкой выносит к чертовой матери едыр (сервер, который лдап-запросы обрабатывает, подвисает). НСМ использует именно такую авторизацию - на нем, собственно, и выяснилось.

"Нежнее нада... еще нежнее"

Что прекрасного в методе который даже на терминальном сервере использовать нельзя.
Да есть ещё куча нюансов с атрибутом networkAddress.
Я этот метод отбросил ещё на начальном этапе ввиду кривости.

И что это за сервер который от LDAP запросов валится ?

[Иван Левшин aka Ivan L.]

И что это за сервер который от LDAP запросов валится ?

Предлог начать холивар? Любителям позадавать риторические вопросы - рекомендация отправиться в developer.novell.com и пошукать там - что такое атрибут networkAddress

И, коли уж мы настолько круты - может, имеется пример абсолютно надежного LDAP-сервера? Который ну ни от каких запросов не валится?

[v13]

Акститесь батенька. всего лишь ответы по теме.
У меня не валится. nw65sp6.
По поводу отправляния меня читать документацию - перестанте уже ради бога. Ведёте себя как ребёнок.

[Иван Левшин aka Ivan L.]

Акститесь батенька. всего лишь ответы по теме.
У меня не валится. nw65sp6.
По поводу отправляния меня читать документацию - перестанте уже ради бога. Ведёте себя как ребёнок.

Ага, батенька - и у нас "в квартире газ". То, что двух одинаковых систем не бывает - это для Вас открытие, правда? У Вас - не валится, у меня на старой работе - тоже. У большинства клиентов - тоже не валится. Однако вот у одного клиента - валилось. Да так, что вставала вся система (запросами долбили основной сервер дерева). И еще были ситуации, когда - валилось. Не надо свой мегаопыт экстраполировать на весь остальной мир - только и всего. Плюс надо внимательнее читать - я в этом же треде писал уже, что моя рекомендация - во-первых, не более, чем рекомендация, во-вторых - данные до сих пор не подтверждены.

Документацию читать - вообще полезно. "Ребенки", правда, этого зачастую не делают - а жаль. Взрослые дяди - они как раз этим и занимаются.

P.S. "Окститесь", батенька И вообще учите русский язык - пригодится

[Владимир Горяев]

Я не модератор, но ей-богу! Иван и v13 (кстати у нас считается хорошим тоном ники повразумительнее иметь) хватит уже междусобойчики устраивать почти в каждой теме. Все мы спецы.. и кто не без греха... мож у меня тоже что-то... где-то болшЕе... Хорош!

[v13]

У меня складывается впечатление что Иван очень сильно комплексует по поводу того что ктото пришёл в ЕГО песочницу и начал чтото говорить.
других объяснений я не вижу.
За орфографию вон начал цепляться.
А по делу даже уже ничего не говорит, только брызг слюны.
УСПОКОЙТЕСЬ уже, Иван.