negotiate_kerberos_auth(8) System Manager's Manual negotiate_kerberos_auth(8)

negotiate_kerberos_auth - ابزار کمکی احراز هویت مبتنی بر کربروس (Kerberos) برای اسکوئید (Squid)

نگارش 3.0.4sq

negotiate_kerberos_auth [-h] [-d] [-i] [-r] [-s Service-Principal-Name] [-k Keytab-Name] [-c Replay-Cache-Directory] [-t Replay-Cache-Type]

برنامه negotiate_kerberos_auth یک باینری نصب‌شده است که به اسکوئید (Squid) اجازه می‌دهد تا کاربران را از طریق پروتکل Negotiate و کربروس (Kerberos) احراز هویت کند.

نمایش راهنمای باینری و اطلاعات ساختار دستوری خط فرمان در خروجی خطای استاندارد (stderr).
نوشتن پیام‌های اشکال‌زدایی (debug) در stderr.
نوشتن پیام‌های اطلاعاتی (informational) در stderr.
حذف قلمرو (realm) از نام کاربری قبل از بازگرداندن نام کاربری به اسکوئید.
تعیین نام اصلی سرویس (Service Principal Name).
تعیین نام پرونده Keytab کربروس (پیش‌فرض: /etc/krb5.keytab).
تعیین پوشه حافظه نهان بازپخش (Replay Cache Directory) (پیش‌فرض: /var/tmp).
تعیین نوع حافظه نهان بازپخش (Replay Cache Type) (پیش‌فرض: dfl).

این ابزار کمکی برای استفاده به عنوان یک ابزار کمکی احراز هویت در squid.conf در نظر گرفته شده است.

auth_param negotiate program /path/to/negotiate_kerberos_auth
auth_param negotiate children 10
auth_param negotiate keep_alive on

نکته: ممکن است تغییرات زیر در پرونده راه‌اندازی اسکوئید لازم باشد:

خطوط زیر را به اسکریپت راه‌اندازی اسکوئید اضافه کنید تا اسکوئید را به یک پرونده keytab هدایت کند که شامل نام اصلی سرویس HTTP/fqdn برای دامنه پیش‌فرض کربروس است. نام keytab را می‌توان با گزینه -k <keytab name> نیز مشخص کرد. مقدار fqdn باید نام پروکسی تنظیم‌شده در مرورگر باشد. نمی‌توانید از نشانی IP استفاده کنید.

KRB5_KTNAME=/etc/squid/HTTP.keytab
export KRB5_KTNAME

اگر از دامنه کربروس متفاوتی نسبت به دامنه‌ای که خود ماشین در آن قرار دارد استفاده می‌کنید، می‌توانید با تنظیم متغیر محیطی زیر در اسکریپت راه‌اندازی، اسکوئید را به پرونده پیکربندی مجزای کربروس هدایت کنید:

KRB5_CONFIG=/etc/krb5-squid.conf
export KRB5_CONFIG

کربروس می‌تواند یک حافظه نهان بازپخش (replay cache) برای تشخیص استفاده مجدد از بلیت‌های کربروس (که معمولاً فقط در یک بازه ۵ دقیقه‌ای امکان‌پذیر است) نگهداری کند. اگر اسکوئید تحت بار کاری سنگین با درخواست‌های احراز هویت پروکسی Negotiate(Kerberos) باشد، بررسی‌های حافظه نهان بازپخش می‌تواند بار CPU بالایی ایجاد کند. اگر محیط به امنیت بسیار بالا نیاز ندارد، بررسی حافظه نهان بازپخش را می‌توان برای پیاده‌سازی‌های کربروس مبتنی بر MIT با افزودن خطوط زیر به اسکریپت راه‌اندازی یا استفاده از گزینه -t none غیرفعال کرد:

KRB5RCACHETYPE=none
export KRB5RCACHETYPE

اگر negotiate_kerberos_auth به هر دلیلی نام اصلی سرویس صحیح را تشخیص ندهد، می‌توانید آن را با -s HTTP/fqdn ارائه دهید.

اگر به چندین قلمرو کربروس سرویس می‌دهید، یک نام اصلی سرویس HTTP/fqdn@REALM به ازای هر قلمرو به پرونده HTTP.keytab اضافه کنید و از گزینه -s GSS_C_NO_NAME در negotiate_kerberos_auth استفاده نمایید.

این برنامه توسط فرد زیر نوشته شده است: Markus Moeller <markus_moeller@compuserve.com>

این راهنما توسط فرد زیر نوشته شده است: Markus Moeller <markus_moeller@compuserve.com>


* Copyright (C) 1996-2014 The Squid Software Foundation and contributors
*
* نرم‌افزار اسکوئید تحت مجوز +GPLv2 توزیع می‌شود و شامل
* مشارکت‌های افراد و سازمان‌های متعددی است.
* لطفاً برای جزئیات پرونده‌های COPYING و CONTRIBUTORS را ببینید.

حق نشر این برنامه و مستندات متعلق به نویسندگان نام‌برده در بالاست.

توزیع‌شده تحت مجوز عمومی همگانی گنو (GNU GPL) نگارش ۲ یا بالاتر (+GPLv2).

پرسش‌ها درباره نحوه استفاده از این برنامه را می‌توانید به فهرست پستی کاربران اسکوئید ارسال کنید: <squid-users@lists.squid-cache.org>

گزارش‌های باگ باید به زبان انگلیسی ارسال شوند. برای جزئیات مواردی که باید در گزارش باگ خود قرار دهید به https://wiki.squid-cache.org/SquidFaq/BugReporting مراجعه کنید.

گزارش باگ‌ها یا اصلاحات باگ با استفاده از http://bugs.squid-cache.org

گزارش باگ‌های امنیتی جدی به Squid Bugs <squid-bugs@lists.squid-cache.org>

گزارش ایده‌ها برای بهبودهای جدید به فهرست پستی توسعه‌دهندگان اسکوئید <squid-dev@lists.squid-cache.org>

squid(8) ext_kerberos_ldap_group_acl(8)
RFC4559 - احراز هویت HTTP با کربروس و NTLM بر پایه SPNEGO در مایکروسافت ویندوز,
RFC2478 - سازوکار مذاکره ساده و محافظت‌شده GSS-API,
RFC1964 - سازوکار GSS-API در نگارش ۵ کربروس,
ویکی سؤالات متداول اسکوئید: https://wiki.squid-cache.org/SquidFaq
راهنمای پیکربندی اسکوئید: http://www.squid-cache.org/Doc/config https://wiki.squid-cache.org/ConfigExamples/Authenticate/Kerberos