Добрый день.

Снова проблема со сквидом. Сейчас работает связка squid + ntlm. В логах acces.log

1405939794.775      0 172.18.2.34 TCP_DENIED/407 3928 GET http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl - NONE/- text/html [Cache-Control:$
1405939794.791      0 172.18.2.34 TCP_DENIED/407 4288 GET http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl - NONE/- text/html [Cache-Control:$
1405939794.807      0 172.18.2.34 TCP_DENIED/407 4214 GET http://crl.microsoft.com/pki/crl/products/microsoftrootcert.crl - NONE/- text/html [Cache-Control:$
1405939794.830      0 172.18.2.34 TCP_DENIED/407 3953 GET http://crl.microsoft.com/pki/crl/products/MicCodSigPCA_08-31... - NONE/- text/html [Cache-Co$
1405939794.846      0 172.18.2.34 TCP_DENIED/407 4313 GET http://crl.microsoft.com/pki/crl/products/MicCodSigPCA_08-31... - NONE/- text/html [Cache-Co$
1405939794.861      0 172.18.2.34 TCP_DENIED/407 4239 GET http://crl.microsoft.com/pki/crl/products/MicCodSigPCA_08-31... - NONE/- text/html [Cache-Co$
1405939794.884      0 172.18.2.34 TCP_DENIED/407 3901 GET http://crl.microsoft.com/pki/crl/products/CodeSigPCA.crl - NONE/- text/html [Cache-Control: max-ag$
1405939794.900      0 172.18.2.34 TCP_DENIED/407 4261 GET http://crl.microsoft.com/pki/crl/products/CodeSigPCA.crl - NONE/- text/html [Cache-Control: max-ag$
1405939794.916      0 172.18.2.34 TCP_DENIED/407 4191 GET http://crl.microsoft.com/pki/crl/products/CodeSigPCA.crl - NONE/- text/html [Cache-Control: max-ag$
1405939795.159      0 172.18.2.34 TCP_DENIED/407 3734 CONNECT ssl.google-analytics.com:443 - NONE/- text/html [Host: ssl.google-analytics.com\r\nProxy-Conne$
1405939795.179      0 172.18.2.34 TCP_DENIED/407 4094 CONNECT ssl.google-analytics.com:443 - NONE/- text/html [Host: ssl.google-analytics.com\r\nProxy-Conne$ 

в cache.log

got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1
got NTLMSSP command 3, expected 1

в интернетах находил, что стоит пересобирать самбу и править ntlmssp. Если другой не столь кардинальный сбособ дать доступ офису в облако? в самом сквиде все ip облачных сервисов прописаны, в сквидгарде есть отдельный блок для офиса облачном, в котором все domains и urls облачных сервисов прописаны, это все не дает желаемого эффекта. Прошу вашей помощи

• squid - TCP/407,Психиатр, 17:23 , 21-Июл-14
  • squid - TCP/407,Ninjatrasher, 17:49 , 21-Июл-14
    • squid - TCP/407,Ninjatrasher, 09:04 , 22-Июл-14
• squid - TCP/407,pavlinux, 03:36 , 22-Июл-14
• squid - TCP/407,Ninjatrasher, 12:33 , 22-Июл-14
  • squid - TCP/407,Andrey Mitrofanov, 14:00 , 22-Июл-14
    • squid - TCP/407,Ninjatrasher, 14:24 , 22-Июл-14
      • squid - TCP/407,Andrey Mitrofanov, 19:48 , 22-Июл-14

407 means "send me your login or go away".
проблема в аутентификации.

>в интернетах находил, что стоит пересобирать самбу и править ntlmssp

...
учу гуглить за деньги ...

If you want to use ntlm_auth ( NTLMv1?) you need to change some
compatibility settings in windows, specially windows vista and 7 are
configure by default to only use NTLMv2 honoring kerberos, you need to
edit windows registry and change/create

*HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel*

*DWORD value 1

You can automate this with a logon script o with a group policy
Security:LAN Manager Authentication Level

Anyway, I think is time to migrate to kerb_auth.

>[оверквотинг удален]
> some
> compatibility settings in windows, specially windows vista and 7 are
> configure by default to only use NTLMv2 honoring kerberos, you need to
> edit windows registry and change/create
> *HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\LmCompatibilityLevel*
> *DWORD value 1
> You can automate this with a logon script o with a group
> policy
> Security:LAN Manager Authentication Level
> Anyway, I think is time to migrate to kerb_auth.

если бы все проблемы решались при помощи первых результатов, который выдает гугл, я бы сюда не писал)
данный способ не помогает, прошу помощи у тех, кто действительно решал это проблему

>[оверквотинг удален]
> Если руки из жопы плюс к этому нет мозгов чтоб выложить:
> 1) OS
> 2) версия сквида
> 3) конфиг сквида
> тебе никто не виноват, одна и та же повторяющаяся строчка лога диагностике
> не помогает.
> проблемы гаданием на кофейной гуще тяжело решать.
> а вообще что я тебя за язык тяну, как задашь вопрос -
> так и получишь ответ,
> а вопрос задан на уровне домохозяйки-овцы.

1. Debian 7.5
2. Squid Cache: Version 3.1.20
3. Конфиг squid

dns_v4_first on
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp 
auth_param ntlm children 300
auth_param ntlm use_ntlm_negotiate on
auth_param ntlm keep_alive off
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
acl intranet dst 172.18.1.0/24
acl intranet dst 172.18.2.0/24
cl SSL_ports port 443
acl Safe_ports port 80 # http 
acl Safe_ports port 21 # ftp 
acl Safe_ports port 443 # https 
acl Safe_ports port 70 # gopher 
acl Safe_ports port 210 # wais 
acl Safe_ports port 1025-65535 # unregistered ports 
acl Safe_ports port 280 # http-mgmt 
acl Safe_ports port 488 # gss-http 
acl Safe_ports port 591 # filemaker 
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
acl DHCP src 172.18.1.0/24 # ip adresses 
acl password proxy_auth REQUIRED
acl ntlm     proxy_auth REQUIRED
acl AuthorizedUsers proxy_auth REQUIRED
http_access allow CONNECT !SSL_ports
http_access allow CONNECT SSL_ports ntlm
http_access allow CONNECT AuthorizedUsers
http_access allow password
http_access allow localhost
http_access allow intranet
http_access allow lync
http_access allow office365
http_access allow DHCP
http_access allow Safe_ports
http_access allow lync2013
always_direct allow lync2013
always_direct allow lync
http_access deny all

дальше я думаю смысла нет писать конфиг.

можно и более дружелюбно отвечать.
проблема наблюдается при попытке офиса2013 лезть в облако за шаблонами, есть конечно вариант запретить ему это делать, но хотелось бы как нибудь решить не столь радикальным методом.

>  TCP_DENIED microsoft.com

Оставь так, у тебя правильный Squid!