Авторизация пользователей SQUID через NDS

[Евгений Андреев]

Ну дак а как бы посмотреть на сырцы сего модуля? Думаю мировая общественность выразит глубокую благодарность Да и имя человека прославим. Я прав?

[Алексей Шуваев]

Человек наконец обжился, зовут его Кутьин Алексей, без его ведома я сырцы выставлять не буду, так шо все вопросы к нему
Номер аськи 13585215. Учитывайте, что когда у них ночь, у нас день, так что или рано утром или поздно вечером. А вообще он обещал завтра авторизоваться на энтом форуме.

[Сергей Дубров]

Человек наконец обжился, зовут его Кутьин Алексей, без его ведома я сырцы выставлять не буду, так шо все вопросы к нему

Это правильно...

Номер аськи 13585215. Учитывайте, что когда у них ночь, у нас день, так что или рано утром или поздно вечером. А вообще он обещал завтра авторизоваться на энтом форуме.

И это тоже - правильно . Что ж, ждём-с автора, очень интересную штуку он сотворил.

[Андрей Тр. aka RH]

без его ведома я сырцы выставлять не буду, так шо все вопросы к нему Учитывайте, что когда у них ночь, у нас день, так что или рано утром или поздно вечером. А вообще он обещал завтра авторизоваться на энтом форуме.

А мы что - мы ничего, про сырцы не спрашивали ! Просто интересно, получит ли ( уже получила ? ) сия софтина какое-либо продолжение или нет. Кстати, у нас тут у всех не пойми какое время суток ..

Будем ждать, значит.

[aka]

А мы что - мы ничего, про сырцы не спрашивали ! :) Просто интересно, получит ли ( уже получила ? ) сия софтина какое-либо продолжение или нет. Кстати, у нас тут у всех не пойми какое время суток ..

Будем ждать, значит.

всем привет!

одно из первых сообщений в этой теме было про модуль авторизации по LDAP который идет сместе со сквидом. проверил работает, но с некоторыми НО:
1) атрибут, по которому надо искать пользователя в NDS называется cn (в модуле он назван uid). не знаю насколько это справдливо для всех Novell'ов, я видел только один.
2) пользователей он может авторизовать только из одного конкретного контекста - то есть если ou=sales,o=org то будет работать vasa.sales.org, но НЕ ivan.sub.sales.org и тем более peter.prod.org.

я более-менее подготовил тот модуль о который расхваливал Deeper, кое что убрано, но может следующее:
1) авторизоватся в любом контексте NDS. указывается базовый узел и все пользователи ниже по джереву могут быть авторизованы.
2) от пользователя требуется только имя (без контекста), конекст будет найден при выполнении авторизации. есть еще изготовленный для Deeper'а же пачт к сквиду, который умеет получть от модуля авторизации полный контекст пользователя и писать это в его Squid'овый лог. то есть пользователь вводит при авторизации имя и пароль (например vasa), в логе будет vasa.sub.sales.org.
3) фильтрами в формате LDAP можно настроить разрешение входа по принадлежности к определенной группе в NDS, например Internet users.

минусы этого (да и технологии в целом)
1) авторизация гоняется по сети (пользователь <-> squid) в отрытом виде - это обычная HTTP авторизация в base64. если кто то вам скажет что это критография ткните пальцем в глаз. я пока не слышал про шифрованные соединения клиент - прокси.
2) что бы сконфигурировать - надо знать си, хоть в общих чертах. до autotools руки мои как-то не дошли - так что правим исходник. ну и есс-но при изменении - перекомпилировать.
3) советов, что настраивать на стороне Novell чтобы он начал как LDAP поливать, дать не смогу - в руках ни разу не держал - я в воздухе руками размашивал, чего хотелось бы - умные люди воплащали в жизнь.

я вот думаю, надо ли это кому - если да, придумаю куда выложить.

[Евгений Андреев]

Конечно нужно!!! Даже архинужно. Могу место предложить для выкладывания.

[aka]

Конечно нужно!!! Даже архинужно. Могу место предложить для выкладывания.

http://aka.ell.ru/
подозреваю будут вопросы - скоро организую небольшой форум - если не удастся запустить авторизацию без моего участия

[Евгений Андреев]

Эх.... Архивчик то битый Чего то tar мне аж на 500+ Мб содержимое внутри показывает.

[aka]

исправлено

[Евгений Андреев]

Скачано. Распаковано. Но вот собиратся хоть тресни не хочет

Система: FreeBSD 4.5RELEASE.

Имеет на борту установленные порты:
ldapsdk-1998.12.31 Mozilla LDAP sdk
openldap-1.2.13 Open source LDAP client and server software


При компиляции имеем вот такой выход в консоли:

gate# gcc -O2 -I/usr/local/include/ -L/usr/local/lib nds_auth.c
/tmp/ccccXJnY.o: In function `checkpwd':
/tmp/ccccXJnY.o(.text+0x153): undefined reference to `ldap_open'
/tmp/ccccXJnY.o(.text+0x19a): undefined reference to `ldap_bind_s'
/tmp/ccccXJnY.o(.text+0x1b9): undefined reference to `ldap_search'
/tmp/ccccXJnY.o(.text+0x1ca): undefined reference to `ldap_unbind'
/tmp/ccccXJnY.o(.text+0x1f7): undefined reference to `ldap_first_entry'
/tmp/ccccXJnY.o(.text+0x201): undefined reference to `ldap_get_dn'
/tmp/ccccXJnY.o(.text+0x249): undefined reference to `ldap_msgfree'
/tmp/ccccXJnY.o(.text+0x271): undefined reference to `ldap_result'
/tmp/ccccXJnY.o(.text+0x30e): undefined reference to `ldap_unbind'
/tmp/ccccXJnY.o: In function `try_pwd':
/tmp/ccccXJnY.o(.text+0x34f): undefined reference to `ldap_simple_bind_s'

[Алексей Шуваев]

Так ежу ясно, билиотеки open_ldap в операционке не установлены..

[Евгений Андреев]

Не согласен...

gate# find /usr/ -name '*ldap*.so'
/usr/local/lib/libldap.so
/usr/local/lib/libmozldap.so

gate#

[Евгений Андреев]

Тьфу!....
Ну некудышный из меня програмер
Вылечилось все правкой строчки компиляции:
gcc -I/usr/local/include/ -L/usr/local/lib -lldap -llber nds_auth.c

Сейчас будем пробовать.

[Евгений Андреев]

Вообщем после успешной модификации и компиляции сей программульки имеем неработающее состояние...

В консоль получаем следующее(DEBUG_MSG я поставил в 1):

gate# ./nds_auth
AndreevEN ********
check password.
filter: '(&(objectclass=person)(cn=AndreevEN))'
base: 'mtel.ru'
try to auth (0)

ERR

[Евгений Андреев]

Может еще чего со LDAP на НВ покрутить надо? Хотя пересыл нешифрованных паролей я разрешил.