Squid autenticado com Windows 2008 : Sites que não precisam autenticar.

[RG]

Amigos, boa tarde,

estou tendo o seguinte problema : Algumas aplicações na Web, em especial que usam Citrix Receiver, não funcionam com o Squid autenticado com o AD no 2008 : Fica pedindo autenticação (Abre a tela de login). Existe como fazer para que, nesses casos, bypasse a autenticação do Squid/AD 2008 ?

Um abraço.

[zekkerj]

Mostre seu squid.conf.

[RG]

Obrigado pelo interesse amigo Vascaíno. Segue :

###Autenticacao no AD
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 30
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
###ACLs
acl manager proto cache_object
acl localhost src 127.0.0.0/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl AuthorizedUsers proxy_auth REQUIRED
acl localnet src 192.168.0.0/24
acl SSL_ports port 443          #https
acl SSL_ports port 873          #rsync
acl Safe_ports port 80          #http
acl Safe_ports port 81          #Teste
acl Safe_ports port 82
acl Safe_ports port 79
acl Safe_ports port 78
acl Safe_ports port 21          #ftp
acl Safe_ports port 443         #https
acl Safe_ports port 70          #gopher
acl Safe_ports port 210         #wais
acl Safe_ports port 1025-65535  #Portas nao registradas
acl Safe_ports port 280         #http-mgmt
acl Safe_ports port 488         #gss-http
acl Safe_ports port 563         #snews
acl Safe_ports port 591         #filemaker
acl Safe_ports port 631         #cups
acl Safe_ports port 777         #multiling http
acl Safe_ports port 873         #rsync
acl Safe_ports port 901         #SWAT
acl Safe_ports port 8080        #Tomcat/JBoss
acl purge method purge
acl CONNECT method CONNECT
acl directsites dstdomain meusdominiosdiretos.com.br
always_direct allow directsites
acl QUERY urlpath_regex cgi-bin \?
acl apache rep_header Serve ^Apache
acl windowsupdate url_regex  "/etc/squid3/acls/windowsupdate"
acl domain_watson dstdomain watson.microsoft.com
acl vips proxy_auth "/etc/squid3/acls/vips"
acl sites.bloqueados dstdomain -i "/etc/squid3/acls/sites.bloqueados"
acl palavras.bloqueadas url_regex -i "/etc/squid3/acls/palavras.bloqueadas"
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow windowsupdate
http_access allow domain_watson
http_access allow vips
http_access deny sites.bloqueados
http_access deny palavras.bloqueadas
http_access allow all AuthorizedUsers
http_access allow localnet
http_access allow localhost
http_access allow purge localhost
http_access deny purge
http_access deny all
htcp_access allow localnet
htcp_access deny all

http_port 3128

cache_mem 1024 MB
cache_dir ufs /var/spool/squid3 1024 16 256
cache deny QUERY
access_log /var/log/squid3/access.log squid

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
refresh_pattern .               0       20%     4320

visible_hostname squid3
error_directory /usr/share/squid3/errors/Portuguese
hosts_file /etc/hosts
uri_whitespace encode
coredump_dir /var/spool/squid3
dns_nameservers 8.8.8.8
dns_nameservers 192.168.0.207

cache_effective_user proxy
cache_effective_group proxy

[zekkerj]

Ah, ótimo; você já tem uma regra fazendo o que precisa ("http_access allow windowsupdate").

Basta então vc criar uma nova ACL (p.ex. "acl sites_sem_autenticacao url_regex -i "/etc/squid3/acls/sites_sem_autenticacao") e depois fazer a liberação desses sites ("http_access allow sites_sem_autenticacao") logo após a regra do Windows Update.

[RG]

Vou testar agora amigo. Outra questão : Aplicações não-web, como aqueles programas desktop da Caixa. O amigo tem alguma dica ?

[zekkerj]

Vc diz conectividade social? Esses nem devem passar pelo proxy.

[RG]

Este e outros do mesmo tipo. Eu altero isto no firewall  para aceitar direto ? Desculpa as perguntas básicas, mas sou um clínico geral. rssrsrrs

[zekkerj]

Sim, see vc hoje tem alguma configuração no firewall pra impedir a passagem direta.