Filtrar por usuario mediante squid + ldap

<div style="text-align: justify;">Lo más habitual es que utilicemos <b>Squid</b> en modo <b>transparente</b> para filtrar tráfico en nuestra organización y  supongo que se debe a que es la opción que menos trabajo da porque no nos obliga a configurar cada navegador de cada equipo para usar nuestro proxy. No obstante, en ocasiones puede ser muy interesante filtrar en modo <b>no transparente</b> o, si no tenemos posibilidad de cambiarlo todo, usar ambos mecanismos.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Así que, si pensáis en que queréis o necesitáis <b>filtrar por usuario</b>, es imprescindible que éste acceda a internet en modo<b> no transparente</b>. De otro modo, el filtrado por usuario no va a funcionar. ¿Y qué implica ésto? <b>Que el usuario deberá introducir su login y su password cada vez que abra el navegador</b>. Y os dirán que es muy incómodo tener que teclearlo una y otra vez. Bueno, pues les decís que dejen que el navegador guarde los datos de acceso.<br /><br /><span style="font-family: Courier New, Courier, monospace;"><b><u>Autenticación externa</u>.- </b></span><br />Para lograr que squid filtre por usuario vamos a utilizar un programa de autenticación externo. Si queréis, podéis escribir vuestro propio programa/script de autenticación externo, pero no os preocupéis porque squid ya nos proporciona unos cuantos.<br /><br />En Debian, encontraréis los programas de autenticación externos que squid nos proporciona en el directorio <b>/usr/lib/squid/</b>. Como nuestra autenticación está basada en ldap, de todos los programas que hay, usaremos dos:<br /><ul><li><b>ldap_auth</b>: Para validar usuarios.</li><li><b>squid_ldap_group</b>: Para validar grupos.</li></ul></div><b><u><span style="font-family: Courier New, Courier, monospace;"><br /></span></u></b><b><u><span style="font-family: Courier New, Courier, monospace;">Validación de usuarios</span></u></b>.-<br /><div style="text-align: justify;">Antes de configurar squid, lo mejor que podemos hacer es utilizar el programa de autenticación externa desde un terminal para comprobar que funcionan las consultas que el programa va a realizar al servidor ldap. Veamos cómo:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Suponiendo que el nombre de nuestro servidor es "<b>ldap</b>", la base del árbol ldap donde se encuentran los usuarios es "<b>ou=People,dc=instituto,dc=extremadura,dc=es</b>" y utilizamos la versión 3 del protocolo LDAP, abrimos un terminal y ejecutamos el programa:</div><pre class="source-code"><code><br /><div style="text-align: left;"><br /><b><span style="font-family: inherit;"># /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</span></b></div><br /></code></pre><br />Al ejecutarlo, el programa quedará esperando a que introduzcamos un usuario y su contraseña, separados por un espacio en blanco.<br /><br />Si introducimos un usuario y un password válidos en ldap, nos devolverá <b>OK</b>:<br /><pre class="source-code"><code><br /><b>root@ldap:~# /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</b><br /><br /><b>profesor claveprofesor</b><br /><br /><b>OK</b><br /></code></pre><br /><div>Si introducimos un usuario que no existe o el password introducido no es válido en ldap, nos devolverá <b>ERR Success</b>:<br /><pre class="source-code"><code><br /><b>root@ldap:~# /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</b><br /><br /><b>profesor claveerronea</b><br /><br /><b>ERR Success</b><br /></code></pre></div><div><br /></div>Cuando terminemos de hacer comprobaciones, pulsamos Ctrl+C y saldremos del programa.<br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Validación de grupos</span></u></b>.-<br /><div style="text-align: justify;">Además de establecer un control por usuario, puede que nos interese realizar también un control por grupos,  para establecer reglas en squid que controlen el acceso a los contenidos en función del grupo al que pertenece el usuario.<br />Al igual que en el caso anterior, lo mejor que podemos hacer es utilizar el programa de autenticación externa desde un terminal para comprobar que funcionan las consultas que el programa va a realizar al servidor ldap. Veamos cómo:</div><br /><div style="text-align: justify;">Suponiendo que el nombre de nuestro servidor es "<b>ldap</b>", la base del árbol ldap donde se encuentran los grupos es "<b>ou=Group,dc=instituto,dc=extremadura,dc=es</b>" y utilizamos la versión 3 del protocolo LDAP, abrimos un terminal y ejecutamos el programa:</div><pre class="source-code"><code><br /><div><br /><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b></div><br /></code></pre><div style="text-align: justify;"><br />Como podéis ver, con el parámetro <b>-f</b>, indicamos el filtro para comprobar que un usuario es miembro de un grupo. Al ejecutarlo, el programa quedará esperando a que introduzcamos un usuario y un grupo, separados por un espacio en blanco.</div><br />Si introducimos un usuario y un grupo al que pertenece el usuario, nos devolverá <b>OK</b>:<br /><br /><pre class="source-code"><code><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub<br /></b><br /><b>ponente teachers</b><br /><b>OK</b><br /></code></pre><br />Si introducimos un usuario que no existe o existe pero no pertenece al grupo introducido, nos devolverá <b>ERR</b>:<br /><br /><pre class="source-code"><code><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b><br /><br /><b>ponente students</b><br /><br /><b>ERR</b><br /></code></pre><br />Cuando terminemos de hacer comprobaciones, pulsamos Ctrl+C y saldremos del programa.<br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para autenticar usuarios</span></u></b>.-<br /><div style="text-align: justify;">Bien, pues una vez que hemos visto cuáles son los programas de autenticación de usuarios y grupos mediante ldap que squid nos proporciona, ahora vamos a ver cómo configurar squid para autenticar usuarios.<br /><br />Lo primero que haremos será editar el fichero /etc/squid/squid.conf:<br /><br /><pre class="source-code"><code><b># nano /etc/squid/squid.conf</b><br /></code></pre><br />Una vez abierto, buscamos el <b>TAG: auth_param.</b> Si no lo tenéis porque habéis quitado los comentarios de este fichero, buscadlo en el archivo squid.conf original, que viene completamente comentado, para saber en qué parte del squid.conf debéis insertar las siguientes líneas y las insertamos al final de la sección TAG: auth_param: <br /><pre class="source-code"><code><b><br />auth_param basic program /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3<br />auth_param basic children 5<br /></b></code></pre><br />Como podéis ver, básicamente estamos definiendo el programa que vamos a usar como autenticador y es el mismo que habíamos comprobado que funcionaba desde la línea de comandos.<br /><br />A continuación nos vamos a la sección del documento donde se definen las ACL. Para ello buscamos el <b>TAG: acl,</b> nos desplazamos al final de esta sección e insertamos la siguiente línea:<br /><br /><pre class="source-code"><code><b># acl ldapauth proxy_auth REQUIRED</b><br /></code></pre><div><code><b><br /></b></code></div>Por último, buscamos el <b>TAG: http_access</b> e insertamos una línea como la siguiente:<br /><br /><pre class="source-code"><code><b># http_access allow ldapauth</b></code></pre><br />Esta vez no insertamos la línea al final de la sección. Tendremos que insertarla en el lugar que corresponda de acuerdo con las otras reglas que tengamos establecidas.<br /><br />Una vez hecho ésto, reiniciamos squid para aplicar los cambios y listo:<br /><br /><pre class="source-code"><code><b># service squid restart</b></code></pre></div><br /><div style="-webkit-text-stroke-width: 0px; color: black; font-family: 'Times New Roman'; font-size: medium; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; margin: 0px; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px;"><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para restringir algunos usuarios</span></u></b>.-</div>Por otra parte, en la sección donde se definen las ACL podríamos definir una nueva como la siguiente:<br /><br /><pre class="source-code" style="text-align: justify;"><code><b># acl usuariosrestringidos proxy_auth "/etc/squid/acl/deny_users"</b></code></pre><br />Y en la sección de reglas definir reglas de filtrado para los usuarios que especifiquemos en el archivo <b>/etc/squid/acl/deny_users</b><br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para autenticar grupos</span></u></b>.-<br /><div style="text-align: justify;">Con lo expuesto anteriormente, todos aquellos usuarios registrados en el servidor ldap podrán navegar por internet. Eso sí, al abrir el navegador se les solicitará que introduzcan su usuario y contraseña.<br /><br />Si ahora queremos ir un paso más allá y permitir o denegar que los usuarios de un cierto grupo naveguen o que lo hagan de forma limitada,  vamos a volver a modificar el fichero squid.conf.<br /><br /><pre class="source-code"><code><b># nano /etc/squid/squid.conf</b><br /></code></pre><div><br /></div><div>Una vez abierto el fichero, buscamos la regla:</div><div><br /></div><div><pre class="source-code"><code><b>http_access allow ldapauth</b></code></pre></div><div><br /></div><div>Y la comentamos:</div><div><br /></div><div><div><pre class="source-code"><code><b># http_access allow ldapauth</b></code></pre></div></div><div><br /></div><div>A continuación, buscamos el <b>TAG: external_acl_type</b> y al final de esta sección insertarmos lo siguiente:</div><br /><pre class="source-code"><code><b>external_acl_type group_auth %LOGIN /usr/lib/squid/squid_ldap_group -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectclass=posixGroup)(cn=%a)(memberuid=%v))" -h ldap -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b><br /></code></pre><div><code><b><br /></b></code></div>Esta acl externa a la que hemos llamado group_auth, nos va a permitir lograr que squid compruebe si un usuario es miembro de un grupo.<br /><br />A continuación nos vamos a la sección del documento donde se definen las ACL. Para ello buscamos el <b>TAG: acl,</b> nos desplazamos al final de esta sección e insertamos las acl que queramos. Por ejemplo, podemos especificar una acl para profesores:<br /><br /><pre class="source-code"><code><b># acl profesores external group_auth teachers</b><br /></code></pre><div><code><b><br /></b></code></div>Donde, teachers es uno de los grupos registrados en nuestro servidor ldap.<br /><br />También podríamos crear una acl para usar en reglas de filtrado para alumnos:<br /><br /><pre class="source-code"><code><b># acl alumnos external group_auth students</b></code></pre><br />Por último, buscamos el <b>TAG: http_access </b>e insertamos reglas de filtrado:<br /><br /><pre class="source-code"><code><b>http_access allow profesores</b><br /></code></pre><div><code><b><br /></b></code></div>Esta vez no insertamos la línea al final de la sección. Tendremos que insertarla en el lugar que corresponda de acuerdo con las otras reglas que tengamos establecidas y dependiendo de cómo queráis filtrar.<br /><br />Una vez hecho ésto, reiniciamos squid para aplicar los cambios y listo:<br /><br /><pre class="source-code"><code><b># service squid restart</b></code></pre><br /></div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Filtrar por usuario mediante squid + ldap

Lo más habitual es que utilicemos Squid en modo transparente para filtrar tráfico en nuestra organización y  supongo que se debe a que es la opción que menos trabajo da porque no nos obliga a configur…

Leer más »