Андрей Тр. aka RH писал(а):Где-то в начале см. сообщение PavelK - там упоминается "пропатченный Сквид", плюс кратко описана схема работы всего этого.
А мы у себя поставили и пробуем PaperCut NG - хорошо себя зарекомендовавший продукт, сейчас его портируют на Линукс. Аутентификация по ЛДАП настраивается как обычно для Сквида ( или другого прокси ), PCNG синхронизирует свою базу пользователей по ЛДАП.
PCNG Manual писал(а):Some large networks, particularly those found at established universities, may have custom
user directory and authentication services not directly supported by PaperCut NG. To
support these networks, administrators can use scripting and other technologies to build a
new custom User Directory Information Provider.
PaperCut NG works by handing off user, group and user authentication tasks to a separate
program/process. The external process must accept a set of commands as command-line
arguments and return the answer in a tab delimited prescribed format on standard out.
More information on the format can be found in Section 14.5, “Custom User Directory Information
Providers”. The source code for the standard PaperCut NG supplied User Directory
Information Provider are also supplied as part of the installation, and these may prove
to be a good example. The source code is provided in:
~/server/bin/linux-i686/src/
~/server/bin/linux-i686/sambauserdir
~/server/bin/linux-i686/authsamba
Organizations wishing to build a custom User Directory Information Provider are encouraged
to contact the PaperCut NG development team. They will be more than happy to assist.
Андрей Тр. aka RH писал(а):Не, не может же все быть так просто ..
Seamless Authentication with the Squid Proxy
http://www.novell.com/coolsolutions/feature/17777.html
If a user has logged into eDirectory using the Novell client, the Network Address attribute of the user object in eDirectory [b]should be[/b] populated with the user's IP address
Иван, тогда ИМХО проще написать какой-то скрипт ( подозреваю, что очень простой ), который бы при логине пользователя заполнял нужный атрибут. Понятно, что в предложенном методе есть дырки, и что особо продвинутый пользователь, вероятно, сможет прикинуться кем-то еще (?) .. надо будет подумать на эту тему. Но и этот скриптик, с другой стороны, мог бы обновлять атрибут регулярно, пока пользователеь залогинен.Иван Левшин aka Ivan L. писал(а):
- Код: Выделить всё
If a user has logged into eDirectory using the Novell client, the Network Address attribute of the user object in eDirectory [b]should be[/b] populated with the user's IP address
Вот это самое should be меня и настораживает. Как сейчас - не знаю, а раньше этот самый адрес там либо старый был, либо вообще не populated.Из-за чего и городили городушку с демоном SSO.
Option 1. PCounter will lookup the users IP address in the connection table of the server and then charge the appropriate logged in user.
Вот именно это-то - как раз очень страшно. По крайней мере, для нас - неприемлемо категорически, поскольку при Basic-аутентификации пара имя/пароль пересылаются по сети (от браузера до прокси-сервера) безо всякого шифрования, да ещё и в каждом запросе. Если это те же самые имя/пароль, с которыми пользователь входит в сеть, то подслушивание данной информации кем-то с помощью сниффера - просто вопрос времени, о безопасности тут говорить просто невозможно.Александр Читалкин писал(а):По ссылке:
Second Method: In the event that the IP address attribute of the user is not populated (which happens very rarely and is always the result of a broken Novell client), the Squid proxy will fall back to standard username/password authentication.
Утверждают, что адрес этот быть там должен. А если его там нет, то аутентификация будет стандартной basic, что не так страшно.
А вот с этими утверждениями хотелось бы поспорить уже мне.Александр Читалкин писал(а):О безопасности ClientTrust - помниться, в свое время приходилось поспорить с особо убежденными: http://archive.cert.uni-stuttgart.de/ar ... 00097.html
Как видим из описания, и исходников клиенттраста для линукса на сурсфорже, протокол действительно простейший. Ничего не стоит продвинутому пользователю с познаниями в программировании взять этот сурс, переделать и собрать в MSVS, заставив всегда отдавать реквизиты привилегированного пользователя независимо от того, кто реально сейчас подключен. Или, как предлагает автор, поставить редирект на его машину.
Сейчас этот форум просматривают: нет зарегистрированных пользователей и гости: 40