Squid PAM Auth

[masteryoda1047]

Hi allerseits

wir verwenden einen Squid 2.5 Stable 3 als Proxy für unser LAN.

Derzeit werden ACLs auf Basis von IPAdressen genutzt.

Wir würden gerne eine weitere Methode einführen, wobei die Überprüfung der IP Adressen beibehalten werden muss. Und zwar schwebt mir dabei eine Authentifizierung mit username und passwort vor, für alle Clients die nicht in der ACL der IPAdressen stehen.

Sprich: hat jemand die richtige IP-Adresse, so darf er ins Web ohne Auth.

Wenn nicht, soll das Auth-Fenster kommen.

Ich habe ein wenig eruirt und dabei bin ich auf Pam-Auth gestossen.Das kling ziemlich interessant. Meine Frage: Ist oben beschriebenes Szenario überhaupt damit lösbar?

PS:

rpm -qa | grep pam gibt mir an: (SuSE 9.0 Prof.)

pam-modules-9.0-5

yast2-pam-2.8.5-65

pam-0.77-124

Hat jemand ein How-TO oder kann mir in Expressform schildern wie man die Auth wirksam macht?

mfg

mula

[devniv]

Als erstes: Dein Szenario ist möglich, gibts schon länger und das hatten wir an unserer Schule schon eingesetzt.

such mal bei google nach Squid+PAM+Auth+MySQL, ich glaub, dann wirst du fündig.

Wichtig dabei ist, dass der Proxy explizit eingetragen werden muss, damit der Browser weiss, dass er sich bei nem Proxy authentifizieren muss. Eine MySQL-Datenbank würde ich deshalb nehmen, weil das am einfachsten schnell administrierbar ist. Eine entsprechende MySQL-Tabelle ist in so einer Howto dabei. Sie besteht mindestens aus username und passwort, wobei man einstellen kann, ob das passwort klartext oder verschluesselt sein kann (das ist pam_mysql). Danach muss der Squid nur noch wissen, dasser authen soll und wie er authen soll und als drittes muss in der pam.d die config-datei des Squid noch mit Zugangsdaten für die MySQL-Datenbank gefüttert werden.

Zuletzt, nachdem der Squid weiss, ich darf neben der IP-ACL noch eine Proxy-Auth-ACL auf pam-Eben laufen lassen, nachdem pam weiss, dass der Squid auf ne mysql-datenbank zugreifen will (mit samt Zugangsdaten), nachdem dann die mysql-Datenbank die diversen Daten enthält und der Browser bei den Usern weiss, dass da ein Proxy eventuell nach nem Passwort fragt, kanns losgehen.

in den Squid-Logs sieht man dann je nach Einstellungen auch, wer auf was zugegriffen hat, und zwar nicht nur auf IP-Ebene, sondern auch auf Userebene.

Falls ihr das mal betriebstechnisch irgendwo in der Firma einsetzen wollt, beratet nochmal mit Betriebsrat und Geschäftsleitung Thema Datenschutz und so.

Viel Spass mit dem Squid.

Gruss

DevNiv