Как заставить ntlm_auth говорить на протоколе помощника Squid
Успешная однократная проверка пароля не доказывает, что ntlm_auth выполняет постоянный протокол, которого ожидает Squid.
Для NTLM-аутентификации в Squid проверьте, выбирает ли фактически действующая команда помощника --helper-protocol=squid-2.5-ntlmssp. Историческое число называет диалог помощника; оно не требует устанавливать Squid 2.5.
Однократная проверка имени пользователя и пароля через ntlm_auth проверяет другой режим. Её успех не доказывает, что Squid запустил помощника, способного поддерживать требуемый обмен.
Прочитайте полную команду в загруженной конфигурации auth_param и сохраните её аргументы, пока разбираетесь с сообщением дочернего процесса о запуске или выходе. Затем проверьте диалог: Squid отправляет протокольные сообщения в стандартный ввод и ждёт протокольных ответов в стандартном выводе. Приветственный баннер или отладочная печать обёртки там может сломать интеграцию ещё до оценки учётных данных. Диагностику отправляйте в стандартный поток ошибок.
Проверьте учётную запись, запускающую помощника, отдельно от пользователя, который проходит аутентификацию. Доступ к привилегированным средствам аутентификации Samba — это вопрос локальных прав службы. Смена пароля пользователя не может его дать.
Когда помощник остаётся доступным и говорит на выбранном протоколе, переходите к членству в домене, принятию учётной записи и согласованию с браузером. Раннее увеличение числа помощников лишь запускает больше копий той же неработающей интеграции.