Почему базовая LDAP-аутентификация Squid по-прежнему запрашивает пароль

Конфигурация Squid может проверять пароли в Active Directory и всё равно показывать окно входа. Это не обязательно означает, что что-то сломано. AD описывает, где находится учётная запись; он не говорит, как браузер докажет, кто пользователь.

В этой строке важное слово — basic:

auth_param basic realm Windows Logon

Слова после realm задают имя защищённого пространства аутентификации. Они не запрашивают маркер доступа Windows и не переключают запрос на Negotiate. Помощник Basic LDAP получает переданные учётные данные и проверяет их по каталогу.

В типичной конфигурации есть три отдельных решения: как Squid запрашивает клиента, как помощник проверяет этот ответ и каким аутентифицированным пользователям или группам разрешает доступ правило. Успешный поиск группы в LDAP решает только последнее решение. Он не может предоставить недостающие учётные данные браузера.

Если требуется тихий вход

Выберите поддерживаемую браузером схему интегрированной аутентификации и настройте её серверные предпосылки. Для Negotiate на основе Kerberos это включает идентичность службы и ключевой материал, а также клиентскую политику, разрешающую аутентификацию на этом прокси. Простая замена исполняемого файла помощника в конфигурации Basic не выполнит такое преобразование.

Решите, какой результат вам нужен, прежде чем заменять работающую настройку LDAP. Принимать то же имя пользователя и пароль, что и для входа на рабочую станцию, — разумное требование Basic. Повторно использовать уже выполнившую вход идентичность Windows, не спрашивая этот пароль, — другое требование, с другой работой по протоколу и развёртыванию.