Форум читал долго, советы перепробовал все
— ситуация --
Авторизация в AD работает нормально
Запрос на имя пароль появляется
Если пароль не вводишь — пишет Unauthorized (PROXY)
Если нормально авторизуешься, в инет пускае всех авторизованных
В логах и статистике вижу, какой-пользователь, куда ходит
Файлы HostBlackList.txt HostWhiteList.txt UrlBlackList.txt UrlWhiteList.txt пустые
— задача --
1 необходимо, чтоб в инет пускало только мемберов определенной группы
2 при это можно было запрещать всем пользователям определенные сайты
См.
линк еще раз внимательно перечитал
еще раз проверил
- ;;;"IsGroupMember: InternetUsers 0= DUP | DROP AU"
добавление этой строки в UrlBlackList.txt нисего не дает доступ в инет через прокси получают, как участники группы InternetUsers, так и все остальныеили что-то другое нужно прописывать?
HostBlackList.txt
"*";;;"AU"
HostWhiteList.txt
"*";"InternetUsers";;
в инет пускает только мемберов InternetUsers, но запретить ходить на определенные хосты не могу
если очищаю HostWhiteList.txt и HostBlackList.txt и в UrlBlackList.txt пишу
спасибо, ваш совет про сапорт помог.
- ;;;"IsGroupMember: InternetUsers 0= DUP | DROP AU" — заработало
но теперь возникает вопрос - как правильно написать правило для 3х групп? те чтоб пускало, только если пользователь мембер одной из трех группруководствуясь коротеньким хелпом
Или, положить в отдельный файл is-non-internet-user.txt (например, рядом с Eproxy.exe):
И записать в правиле (путь к файлу относительно расположения Eproxy.exe или абсолютный):
При
Пускает всех, не зависимо от группы.
Лог:
Когда же
То наоборот не пускает никого, просит авторизации, ответ на которую не дает результатов.
Лог:
Этот код вообще неправильный. Перед "NtIsMemberOf:" должно быть имя пользователя, которого в вашем примере нет. Потому и exception'ы.
Надо использовать IsGroupMember:, тогда подставляется текущий авторизованный пользователь.
Можно поставить LogLevel: 7 в "Eproxy\conf\http-proxy\OnThreadConnect.rules.txt" и посмотреть в 200709acl.txt, как Eproxy перебирает группы при определении членства.
Лог 200709acl.txt:
Лог Eproxy.log:
Может попробывать другой метод авторизации, а список тянуть скриптом через LDAP из AD?
Посмотрел внимательно, включен и это все.
Да, там все отлично видно, правда при попытке добавить пользователя в группу ProxyUsers появилась ошибка — Error: 1376.
Дело в том, что от самой авторизации толку мало. У меня есть другой метод проверки и регулирования доступа пользователя в Инет, т.е. я вполне мог бы обойтись и без проверки в самой проксе. Но у меня самый простой способ, доступ или есть или его нет. Поэтому и нужны группы. Народу много, руками добавлять не удобно.
Значит прав на листание групп у сервиса хватает (в данном случае у acWEB). В чем отличие от Eproxy (код аналогичный) — надо подумать...
А имя сервера там (в веб-странице со списком групп) то же, что и в авторизации?
В локальных доменах стоит: домен slata.ru (sm.slata.ru и то и другое проходит), источник — smserver.
Я еще их квотами рублю, создал группу с квотой 1Kb и туда всех неугодных (мыльных) юзеров. Заходи на прокси, авторизуйся, но тут же "квота исчерпалась"
А еще и band канал можно на минимум, но это уже лишнее
Если в AUTH_PAR поставить тот же smserver.sm.slata.ru, то не работает?
Кстати, пингуются все варианты имен?
Все оказалось просто, дело было действительно в sm.slata.ru, который не пинговался.