Squid e problema siti con IIS+NTLM

[Francesco]

Ciao a tutti,

ho alcuni siti remoti che utilizzano IIS con l'autentica integrata di
windows ntlm la cui login non viene accettata per i client che
navigano tramite proxy squid. Togliendo il proxy tutto funziona
regolarmente.

Ho provato sia con squid 2.6 che con squid 3.1.

Ho anche aggiunto le direttive: http_port 3128 connection-auth=on,
come indicato in una FAQ di squid ma niente, quel sito non mi
autentica ed ho sempre l'errore 401/unauthorized.

Qualcuno è riuscito nell'intento?

Grazie,
Francesco

[Rizio]

Francesco ha scritto:

> ho alcuni siti remoti che utilizzano IIS con l'autentica integrata di
> windows ntlm la cui login non viene accettata per i client che
> navigano tramite proxy squid. Togliendo il proxy tutto funziona
> regolarmente.

Ho lo stesso problema con un sito esterno che con il proxy non mi da errore ma
mi mostra la pagina bianca e senza proxy naturalmente va.
Sono però abbastanza certo che nel tuo caso non sia un problema di
autenticazione ma non ti so aiutare più di così. Volevo solo aggiungere anche il
mio problema

Rizio
--
Si dice che essere liberi significa non avere nulla da perdere... ma la verità è
che non avere nulla da perdere significa essere pronti a rischiare tutto ciò che
si possiede.

[MaxAdamo]

On 23 Lug, 14:09, Francesco <ict.security....*gmail.com> wrote:
> Ciao a tutti,
>
> ho alcuni siti remoti che utilizzano IIS con l'autentica integrata di
> windows ntlm la cui login non viene accettata per i client che
> navigano tramite proxy squid. Togliendo il proxy tutto funziona
> regolarmente.
>
> Ho provato sia con squid 2.6 che con squid 3.1.
>
> Ho anche aggiunto le direttive: http_port 3128 connection-auth=on,
> come indicato in una FAQ di squid ma niente, quel sito non mi
> autentica ed ho sempre l'errore 401/unauthorized.
>
> Qualcuno è riuscito nell'intento?

ntlmaps e cntlm are your friends.
ntlmaps è scritto in python, crasha, non scala, usa tante risorse è fa
schifo.
Resta cntlm.

Intendiamoci, questi 2 proxy fanno due mestieri: sia autenticarti
verso un parent proxy ISA, sia farti autenticare sui web server IIS. A
te interessa solo la seconda caratteristica.
A questo punto puoi vedere cosa succede se lo metti davanti a squid,
oppure in vista di un header potresti andare su uno o sull'altro...
non saprei cosa suggeriti e il fatto è che cntlm non può rimpiazzare
squid del tutto.

[Francesco]

> ntlmaps e cntlm are your friends.
> ntlmaps è scritto in python, crasha, non scala, usa tante risorse è fa
> schifo.
> Resta cntlm.

OK, però in Squid 2.6 e 3.1 dicono che il connection pinning per i
protocolli microsoft oriented sono supportati.
C'è percaso qualche particolare configurazione da fare sullo
squid.conf?

Grazie ancora, un caro saluto!

Francesco