Этот сайт лучше всего просматривать в современном браузере с включённым JavaScript.

ERROR: Negotiate Authentication validating user

nikolay

Сделано как тут http://blog.it-kb.ru/2014/06/26/forward-proxy-squid-3-3-on-ubuntu-server-14-04-lts-part-5-squid-conf-settings-for-kerberos-ntlm-basic-and-access-rules/#comment-18212

но по

# Negotiate Kerberos and NTLM authentication

# Only NTLM authentication

авторизация выдает ошибку

ERROR: Negotiate Authentication validating user. Error returned ‘BH NT_STATUS_UNSUCCESSFUL NT_STATUS_UNSUCCESSFUL’

Авторизация по Basic проходит нормально и работает.

проверялось так, по очередно отключал параметры

# Negotiate Kerberos and NTLM authentication

# Only NTLM authentication

Алексей Максимов

Насчет "Сделано как тут" - брехня. Без сомнений.

Покажите, что творится в логе cache.log при применении конфигурации squid:

sudo squid3 -k reconfigure

Покажите вывод команды тестирования доменной аутентификации

sudo wbinfo -a DOMAIN\\user

nikolay

2015/02/20 14| Reconfiguring Squid Cache (version 3.3.8)...


2015/02/20 14| Closing HTTP port 192.168.0.169
2015/02/20 14| Closing Pinger socket on FD 21
2015/02/20 14| Logfile: closing log daemon:/var/log/squid3/access.log
2015/02/20 14| Logfile Daemon: closing log daemon:/var/log/squid3/access.log
2015/02/20 14| Startup: Initializing Authentication Schemes ...
2015/02/20 14| Startup: Initialized Authentication Scheme 'basic'
2015/02/20 14| Startup: Initialized Authentication Scheme 'digest'
2015/02/20 14| Startup: Initialized Authentication Scheme 'negotiate'
2015/02/20 14| Startup: Initialized Authentication Scheme 'ntlm'
2015/02/20 14| Startup: Initialized Authentication.
2015/02/20 14| Processing Configuration File: /etc/squid3/squid.conf (depth 0)
2015/02/20 14| Logfile: opening log daemon:/var/log/squid3/access.log
2015/02/20 14| Logfile Daemon: opening log /var/log/squid3/access.log
2015/02/20 14| Squid plugin modules loaded: 0
2015/02/20 14| Adaptation support is off.
2015/02/20 14| Store logging disabled
2015/02/20 14| DNS Socket created at , FD 7
2015/02/20 14| DNS Socket created at 0.0.0.0, FD 8
2015/02/20 14| Adding nameserver 192.168.0.43 from /etc/resolv.conf
2015/02/20 14| Adding nameserver 192.168.0.32 from /etc/resolv.conf
2015/02/20 14| Adding domain alea.local from /etc/resolv.conf
2015/02/20 14| Adding domain alea.local from /etc/resolv.conf
2015/02/20 14| helperOpenServers: Starting 0/20 'basic_ldap_auth' processes
2015/02/20 14| helperOpenServers: No 'basic_ldap_auth' processes needed.
2015/02/20 14| helperOpenServers: Starting 5/5 'ext_ldap_group_acl' processes
2015/02/20 14| HTCP Disabled.
2015/02/20 14| Pinger socket opened on FD 21
2015/02/20 14| pinger: Initialising ICMP pinger ...
2015/02/20 14| pinger: ICMP socket opened.
2015/02/20 14| pinger: ICMPv6 socket opened
2015/02/20 14| Loaded Icons.
2015/02/20 14| Accepting HTTP Socket connections at local=192.168.0.169 remote= FD 19 flags=9
2015/02/20 14| Pinger exiting.

Enter ALEA\nbaydakov's password:


plaintext password authentication succeeded
Enter ALEA\nbaydakov's password:

challenge/response password authentication succeeded

nikolay

sudo /usr/bin/ntlm_auth --diagnostics --helper-protocol=squid-2.5-ntlmssp --domain=ALEA


ALEA\nbaydakov *****

BH SPNEGO request invalid prefix

Алексей Максимов

Закомментируйте в конфиге сквида все виды аутентификации кроме NTLM (auth_param ntlm), включите дебаг (debug_options=ALL) и подробно расскажите, что происходит на клиенте, а так же покажите что происходит в этот момент в cache.log

Ещё покажите вывод

sudo squid3 -k parse

nikolay

1. Закомментировал и в итоге стало так

# Negotiate Kerberos and NTLM authentication


#auth_param negotiate program /usr/lib/squid3/negotiate_wrapper_auth --kerberos /usr/lib/squid3/negotiate_kerberos_auth -r -s "HTTP/proxy.alea.local@ALEA.LOCAL" --ntlm /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --domain=ALEA
#auth_param negotiate children 200 startup=50 idle=10
#auth_param negotiate keep_alive off

# Only NTLM authentication
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --domain=ALEA
auth_param ntlm children 100 startup=20 idle=5
auth_param ntlm keep_alive off

# Basic authentication via ldap for clients not authenticated via kerberos/ntlm
#auth_param basic program /usr/lib/squid3/basic_ldap_auth -v 3 -P -R -b "CN=Users,dc=alea,dc=local" -D "proxyadmin@alea.local" -W /etc/squid3/ldappass.conf -f "sAMAccountName=%s" -h dc.alea.local dc2.alea.local
#auth_param basic children 20
#auth_param basic realm "proxy.alea.local - SQUID Proxy Server Basic authentication!"

#auth_param basic credentialsttl 2 hours

2. добавил

debug_options=ALL

3. запустил

sudo squid3 -k parse

выдало

2015/02/20 17| Startup: Initializing Authentication Schemes ...


2015/02/20 17| Startup: Initialized Authentication Scheme 'basic'
2015/02/20 17| Startup: Initialized Authentication Scheme 'digest'
2015/02/20 17| Startup: Initialized Authentication Scheme 'negotiate'
2015/02/20 17| Startup: Initialized Authentication Scheme 'ntlm'
2015/02/20 17| Startup: Initialized Authentication.
2015/02/20 17| Processing Configuration File: /etc/squid3/squid.conf (depth 0)
2015/02/20 17| Processing: debug_options=ALL
2015/02/20 17| /etc/squid3/squid.conf unrecognized: 'debug_options=ALL'
2015/02/20 17| Processing: auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp --domain=ALEA
2015/02/20 17| Processing: auth_param ntlm children 100 startup=20 idle=5
2015/02/20 17| Processing: auth_param ntlm keep_alive off
2015/02/20 17| Processing: external_acl_type memberof ttl=3600 ipv4 %LOGIN /usr/lib/squid3/ext_ldap_group_acl -v 3 -P -R -K -S -b "CN=Users,dc=alea,dc=local" -D "proxyadmin@alea.local" -W /etc/squid3/ldappass.conf -f "(&(objectclass=person)(sAMAccountName=%v)(memberOf.2.840.113556.1.4.1941:=cn=%g,OU=squid,OU=Группы безопасности,DC=alea,DC=local))" -h dc.alea.local dc2.alea.local
2015/02/20 17| Processing: acl localnet src 192.168.0.0/24 # RFC1918 possible internal network
2015/02/20 17| Processing: acl auth proxy_auth REQUIRED
2015/02/20 17| Processing: acl BlockedUsers          external memberof -i "/etc/squid3/grps_blocked.conf"
2015/02/20 17| Processing: acl WhiteListUsers        external memberof -i "/etc/squid3/grps_whitelist.conf"
2015/02/20 17| Processing: acl BlackListUsers        external memberof -i "/etc/squid3/grps_blacklist.conf"
2015/02/20 17| Processing: acl FullAccessUsers       external memberof -i "/etc/squid3/grps_fullaccess.conf"
2015/02/20 17| Processing: acl AnonymousAccessUsers  external memberof -i "/etc/squid3/grps_fullanonym.conf"
2015/02/20 17| Processing: acl WhiteList        dstdomain -i "/etc/squid3/dom_whitelist.conf"
2015/02/20 17| Processing: acl BlackList        dstdomain -i "/etc/squid3/dom_blacklist.conf"
2015/02/20 17| Processing: acl AllAccess        dstdomain -i "/etc/squid3/dom_allaccess.conf"
2015/02/20 17| Processing: acl WhiteListURL     url_regex -i "/etc/squid3/url_whitelist.conf"
2015/02/20 17| Processing: acl BlackListURL     url_regex -i "/etc/squid3/url_blacklist.conf"
2015/02/20 17| Processing: acl WUServers        src       "/etc/squid3/computers_wsus.conf"
2015/02/20 17| Processing: acl WUSites          dstdomain -i "/etc/squid3/dom_wsus.conf"
2015/02/20 17| Processing: acl SSL_ports     port    443
2015/02/20 17| Processing: acl Safe_ports    port    80         # http
2015/02/20 17| Processing: acl Safe_ports    port    21         # ftp
2015/02/20 17| Processing: acl Safe_ports    port    443        # https
2015/02/20 17| Processing: acl Safe_ports    port    70         # gopher
2015/02/20 17| Processing: acl Safe_ports    port    210        # wais
2015/02/20 17| Processing: acl Safe_ports    port    1025-65535 # unregistered ports
2015/02/20 17| Processing: acl Safe_ports    port    280        # http-mgmt
2015/02/20 17| Processing: acl Safe_ports    port    488        # gss-http
2015/02/20 17| Processing: acl Safe_ports    port    591        # filemaker
2015/02/20 17| Processing: acl Safe_ports    port    777        # multiling http
2015/02/20 17| Processing: acl CONNECT     method    CONNECT
2015/02/20 17| Processing: http_access deny    !Safe_ports
2015/02/20 17| Processing: http_access deny    CONNECT !SSL_ports
2015/02/20 17| Processing: http_access allow    localhost manager
2015/02/20 17| Processing: http_access allow    localnet manager
2015/02/20 17| Processing: http_access deny     manager
2015/02/20 17| Processing: http_access deny     to_localhost
2015/02/20 17| Processing: http_access allow    WUSites WUServers
2015/02/20 17| Processing: http_access allow    AllAccess
2015/02/20 17| Processing: http_access deny     !auth
2015/02/20 17| Processing: http_access deny     BlockedUsers all
2015/02/20 17| Processing: http_access allow    WhiteList
2015/02/20 17| Processing: http_access allow    WhiteListURL
2015/02/20 17| Processing: http_access deny     WhiteListUsers all
2015/02/20 17| Processing: http_access allow    AnonymousAccessUsers all
2015/02/20 17| Processing: http_access allow    FullAccessUsers all
2015/02/20 17| Processing: http_access deny     BlackList
2015/02/20 17| Processing: http_access deny     BlackListURL
2015/02/20 17| Processing: http_access allow    BlackListUsers all
2015/02/20 17| Processing: http_access deny    all
2015/02/20 17| Processing: http_port 192.168.0.169
2015/02/20 17| Processing: hierarchy_stoplist cgi-bin ?
2015/02/20 17| Processing: forward_max_tries 25
2015/02/20 17| Processing: cache_mem 1024 MB
2015/02/20 17| Processing: maximum_object_size_in_memory 1024 KB
2015/02/20 17| Processing: memory_replacement_policy heap GDSF
2015/02/20 17| Processing: cache_replacement_policy heap LFUDA
2015/02/20 17| Processing: cache_dir ufs /var/spool/squid3 7000 16 256
2015/02/20 17| Processing: maximum_object_size 32768 KB
2015/02/20 17| Processing: access_log daemon:/var/log/squid3/access.log squid !AnonymousAccessUsers
2015/02/20 17| Processing: cache_log /var/log/squid3/cache.log
2015/02/20 17| Processing: coredump_dir /var/spool/squid3
2015/02/20 17| Processing: refresh_pattern ^ftp:           1440    20%     10080
2015/02/20 17| Processing: refresh_pattern ^gopher:        1440    0%      1440
2015/02/20 17| Processing: refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
2015/02/20 17| Processing: refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
2015/02/20 17| Processing: refresh_pattern .               0       20%     4320
2015/02/20 17| Processing: cache_mgr nbaydakov
2015/02/20 17| Processing: httpd_suppress_version_string on
2015/02/20 17| Processing: visible_hostname F00-NBK-001
2015/02/20 17| Processing: error_directory /usr/share/squid3/errors/ru
2015/02/20 17| Processing: error_default_language ru
2015/02/20 17| Processing: dns_v4_first on
2015/02/20 17| Processing: forwarded_for delete

2015/02/20 17| Processing: cachemgr_passwd ******all

4. сделал

sudo squid3 -k reconfigure

5. cach (лог 400 метров О_о)

У пользователя постоянно запрашивает пароль, а в кеше (акс=цессе)

ERROR: Negotiate Authentication validating user. Error returned ‘BH NT_STATUS_UNSUCCESSFUL NT_STATUS_UNSUCCESSFUL’

Алексей Максимов

В моём примере для хелпера ntlm_auth не использовался параметр --domain.

Манипуляции с winbindd_privileged описанные в заметке выполнялись? Без этого у меня NTLM-аутентификация из Squid не работала (по крайней мере именно на тех версиях Samba и Squid, о которых шла речь в статьях)

nikolay

--domain это уже попытки метода тыка, но что с ним что без него не работает.

PROXY.keytab может влиять на это? так как при создании его у меня первые три строки не выши так как у Вас, но все остальное все совпало.

Делал в Powershell на Win2012R2

небыло такого.

Targeting domain controller: KOM-AD01-DC01.holding.com


Successfully mapped HTTP/kom-ad01-squid.holding.com to s-KOM-SquidKerb.

Password successfully set!

c winbindd_privileged выполнялись, завтра сделаю заново этот пункт еще раз

nikolay

по этой заметке сделал повторно, результат тот же...

постоянный запрос пароля и ошибка

ERROR: Negotiate Authentication validating user. Error returned 'BH NT_STATUS_UNSUCCESSFUL NT_STATUS_UNSUCCESSFUL'

При получении URL http://www.msn.com/ru-ru/? произошла следующая ошибка

Доступ к кэшу запрещён.

Извините, Вы не можете запросить http://www.msn.com/ru-ru/? из этого кэша до тех пор, пока не пройдёте аутентификацию.

Please contact the cache administrator if you have difficulties authenticating yourself.

nikolay

PROXY.keytab переделал через cmd

не помогло((

Алексей Максимов

1. Проверим конфиг Samba (smb.conf):

testparm

2.Проверим состояние доверительных отношений с доменом:

sudo wbinfo -t

3. Посмотрим от какой учетной записи запущен основной процесс Squid (процесс должен быть запущен от имени пользователя "proxy"):

sudo ps -aux | grep /usr/sbin/squid3

4. Проверим членов группы winbindd_priv (в группу должен быть включён пользователь "proxy"):

sudo getent group winbindd_priv

5. Проверим содержимое каталогов:


sudo ls -la /var/run/samba/winbindd_privileged

sudo ls -la /var/lib/samba/winbindd_privileged

nikolay

Load smb config files from /etc/samba/smb.conf
rlimit_max: increasing rlimit_max (1024) to minimum Windows limit (16384)
Loaded services file OK.
Server role: ROLE_DOMAIN_MEMBER
Press enter to see a dump of your service definitions


        workgroup = ALEA
        realm = ALEA.LOCAL
        interfaces = 192.168.0.0/24
        bind interfaces only = Yes
        security = ADS
        winbind enum users = Yes
        winbind enum groups = Yes
        winbind use default domain = Yes
        winbind nss info = rfc2307
        idmap config ALEA = 10000-80000
        idmap config ALEA = rid
        idmap config * = 10000-80000
        idmap config * : backend = tdb

checking the trust secret for domain ALEA via RPC calls succeeded

3. У меня proxyadmin

proxy 1311 0.0 2.1 114344 21680 ? Ss февр.21 0 /usr/sbin/squid3 -N -YC -f /etc/squid3/squid.conf proxyad+ 6646 0.0 0.0 12992 920 pts/0 S+ 08 0 grep --color=auto /usr/sbin/squid3

косяк? О_о

хотя вроде как работает.. сам сквид

winbindd_priv,www-data

drwxr-x--- 2 root winbindd_priv 60 февр. 23 08 . drwxr-xr-x 7 root root 500 февр. 23 01 .. lrwxrwxrwx 1 root root 39 февр. 23 08 pipe -> /var/lib/samba/winbindd_privileged/pipe итого 8 drwxr-x--- 2 root winbindd_priv 4096 февр. 21 16 . drwxr-xr-x 6 root root 4096 февр. 21 16 .. srwxrwxrwx 1 root root 0 февр. 21 16 pipe

после перезагрузки

drwxr-x--- 2 root winbindd_priv 40 февр. 23 08 . drwxr-xr-x 7 root root 460 февр. 23 08 .. drwxr-x--- 2 root winbindd_priv 4096 февр. 23 08 . drwxr-xr-x 6 root root 4096 февр. 23 08 .. srwxrwxrwx 1 root root 0 февр. 23 08 pipe

Алексей Максимов

Здесь я говорил о необходимости членства в группе winbindd_priv того пользователя, от имени которого работает squid. Как в моём описании, так и в Вашем случае, это пользователь - proxy. Этого не делано.

nikolay

4. исправил.

winbindd_priv,www-data,proxy

просто у меня что группа что пользователь были proxyadmin

переделал все полностью...

заработало, спасибо.... почему так? или в ОС своя группа есть proxy?

Подскажите пожалуйста, как проверить первый тик авторизации Negotions? так же?