Visualizza wikitesto di Autenticare Squid Proxy Server su un server Radius

{{Versioni compatibili|Squeeze|Wheezy|Jessie}}
== Introduzione ==
Se nella nostra organizzazione è già presente un server Radius per gestire le utenze e/o le autenticazioni sulla rete, può essere comodo fare in modo che anche il nostro Proxy Server Squid  verifichi le autenticazioni collegandosi al server Radius, sollevandoci quindi dal bisogno di gestire una seconda lista di credenziali.

== Prerequisiti ==
* Un server Radius funzionante: [[Autenticazione degli accessi Wireless tramite server Radius]]
* Un proxy server Squid funzionante: [[Proxy Server con filtraggio dei contenuti della navigazione]]

== Il modulo libpam-radius-auth ==
Debian ha un modulo che permette la connessione a un server Radius e la successiva interrogazione per gestire le autenticazioni. Nei [[repository]] è presente il pacchetto già pronto per l'installazione:
<pre>
# apt-get install libpam-radius-auth
</pre>
Dopo l'installazione il modulo va configurato, attraverso il file <code>/etc/pam_radius_auth.conf</code>:
<pre>
# nano /etc/pam_radius_auth.conf
</pre>
<pre>
# server[:port]  shared_secret   timeout (s)
127.0.0.1:182    Chiave_segreta  3
</pre>
Quindi cambiamo i permessi del file:
<pre>
# chown root /etc/pam_radius_auth.conf
# chmod +r /etc/pam_radius_auth.conf
</pre>

== Configurazione di Squid ==
Giunti a questo punto dobbiamo informare il nostro Proxy Server su dove e come reperire le informazioni sulle autenticazioni.
<br/>
Creiamo un file <code>/etc/pam.d/squid</code>:
<pre>
# nano /etc/pam.d/squid
</pre>
e aggiungiamo le linee seguenti:
<pre>
auth sufficient pam_radius_auth.so
account sufficient pam_radius_auth.so
</pre>
Verifichiamo che il modulo PAM appena installato funzioni correttamente, utilizzando le credenziali di un utente Radius funzionante:
<pre>
# /usr/lib/squid3/pam_auth
radiustest radiuspassword
OK
</pre>
Un risultato di OK significa che il modulo PAM funziona correttamente, mentre un ERR significa che abbiamo commesso qualche errore e che ci tocca rivedere tutto.
<br/>
Premiamo CTRL+C per uscire.
<br/><br/>
Non ci resta che istruire Squid per gestire correttamente le autenticazioni Radius.
<br/>
Apriamo il suo file di configurazione:
<pre>
# nano /etc/squid3/squid.conf
</pre>
e aggiungiamo le seguenti linee all'inizio del file:
<pre>
auth_param basic program /usr/lib/squid3/pam_auth
auth_param basic children 5
auth_param basic realm REALM
auth_param basic credentialsttl 1 hours
</pre>
Aggiungiamo la linea seguente nella sezione <code>acl</code>:
<pre>
acl password proxy_auth REQUIRED
</pre>
e la linea seguente prima della direttiva <code>http_access deny all</code>:
<pre>
http_access allow password
</pre>
Riavviamo e verifichiamo che all'atto della navigazione ci venga richiesta una password.
== Nota ==
A causa della struttura del protocollo TCP/IP non è possibile avere un Proxy Server che sia contemporaneamente
trasparente (cioè che non richieda configurazioni sui browser dei client) e che gestisca le autenticazioni.
<br/>
Una soluzione consiste nell'utilizzare un server DHCP che, insieme ai classici parametri di configurazione di rete (indirizzo IP, subnet mask, gateway, DNS) fornisca ai client anche delle istruzioni per l'autoconfigurazione di un proxy server. Per la configurazione di un tale server DHCP si veda ad esempio la guida: [[Un server DNS e DHCP su Debian]]


{{Autori
|Autore = [[Utente:Ferdybassi|Ferdybassi]] 11:22, 2 set 2012 (CEST)
}}

[[Categoria:Monitoraggio]]
[[Categoria:Altri servizi di rete]]
[[Categoria:Network tools]]
[[Categoria:Proxy]]