linux下实现针对windows域身份认证的代理服务器3
2007-08-07   中国IT实验室

2. 用户访问控制列表的设置

1#将AD中的internet全局组映射到ProxyUsers
2acl ProxyUsers external NT_global_group internet
3#将AD中的nolimitedinternet全局组映射到noLimited
4acl NoLimited external NT_global_group nolimitedinternet
5#此句保证了所有用户必须经过身份验证
6acl AuthenticatedUsers proxy_auth REQUIRED
7#定义不允许下载的文件类型
8acl InvalidFiles urlpath_regex -i \.mp3$ \.avi$ \.rmvb$ \.mpg$ \.rm$ \.wma$ \.wmv$ \.scr$ \.exe$ \.ocx$ \.dll$ \.com$
9#定义不允许访问的域名及IP地址，其存放于文件“denyDomain.list”与“denyIP.list”中
10acl denyDomain dstdomain "/etc/squid/denyDomain.list"
11acl denyIP dst "/etc/squid/denyIP.list"
12
13#允许NoLimited用户访问任意Internet资源
14http_access allow AuthenticatedUsers NoLimited
15http_access deny denyDomain
16http_access deny denyIP
17http_access deny InvalidFiles
18
19#禁止用户访问denyDomain.list以及denyIP.list中的域名及IP地址，并禁止下载InvalidFiles指定的文件类型
20http_access allow AuthenticatedUsers ProxyUsers
21acl all src 0.0.0.0/0.0.0.0
22acl manager proto cache_object
23acl localhost src 127.0.0.1/255.255.255.255
24acl to_localhost dst 127.0.0.0/8
25acl SSL_ports port 443
26acl Safe_ports port 80 # http
27acl Safe_ports port 21 # ftp
28acl Safe_ports port 443 # https
29acl Safe_ports port 70 # gopher
30acl Safe_ports port 210 # wais
31acl Safe_ports port 1025-65535 # unregistered ports
32acl Safe_ports port 280 # http-mgmt
33acl Safe_ports port 488 # gss-http
34acl Safe_ports port 591 # filemaker
35acl Safe_ports port 777 # multiling http
36acl CONNECT method CONNECT

　　请注意此配置中的两条语句的位置。第一条“http_access allow AuthenticatedUsers NoLimited”，第二条“http_access allow AuthenticatedUsers ProxyUsers”，此两条语句都是将权限应用到用户组，但不同的是位置，在Squid的ACL配置语句中，先后顺序决定了其权限的不同。大家一定要多注意，细细去揣摩。

VIII. 更改winbind管道的权限

　　一定不能忘记这一点，没有winbind管道的足够的权限，系统是没办法对用户的身份进行验证的。其命令如下：

[root@proxy ~]# chown –R root:squid /var/cache/samba/winbindd_privileged
[root@proxy ~]# chmod –R 750 /var/cache/samba/winbindd_privileged

IX. 重启所有相关服务

　　命令如下：

[root@proxy ~]# service smb restart
[root@proxy ~]# service winbind restart
[root@proxy ~]# service squid restart

　　到此为止，我们已经成功地完成了squid代理服务器的配置。接下来，我们还需要给予IT管理员查看并监督用户访问Internet行为的能力。

X. Sarg的安装与配置

　　为了简单起见，我们直接下载二进制的安装包，执行下列命令获得二进制安装包：

[root@proxy ~]# http://dag.wieers.com/rpm/packages/sarg/sarg-2.2.1-1.el5.rf.i386.rpm

　　安装当然更简单了啦，没什么好说的，执行下列命令即可：

[root@proxy ~]# rpm –Uvh sarg-2.2.1-1.el5.rf.i386.rpm

　　安装完后，重新启动一下Apache服务器当然是再好不过了。