Собственно сабж.
Есть задача сделать прозрачную авторизацию пользователей linux/mac на проксе. для Windows с AD решается нараз - ntlm_auth.
Здесь чувствую копать надо в сторону kerberos, но что-то не идёт.
На данный момент сеть имеет следующую конфигурацию:
есть AD под Win2k3. Оттуда берутся учётки для всех пользователей. процентное соотношение где-то 70/20/10 win/lin/mac. Для автоматической настройки прокси работают GP+WPAD/PAC. Прозрачная авторизация на win идёт на ура. с lin буксует.
кусок конфига squid:
------------------------------------------
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 5
auth_param ntlm use_ntlm_negotiate on

auth_param negotiate program /usr/lib/squid3/squid_kerb_auth
auth_param negotiate children 5
auth_param negotiate keep_alive on

auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
------------------------------------------
при старте squid экспортируется переменная KRB5_KTNAME=/etc/krb5.keytab

Как настроена авторизация в ubuntu. для авторизации используется samba+krb5. PAM настроено таким образом:

------------------------------------------
/etc/pam.d/common-account
account [success=2 new_authtok_reqd=done default=ignore]        pam_unix.so
account [success=1 default=ignore]      pam_krb5.so
account requisite                       pam_deny.so
account required                        pam_permit.so

/etc/pam.d/common-auth
auth    [success=2 default=ignore]      pam_unix.so nullok_secure
auth    [success=1 default=ignore]      pam_krb5.so use_first_pass
auth    requisite                       pam_deny.so
auth    required                        pam_permit.so

/etc/pam.d/common-password
password        [success=2 default=ignore]      pam_unix.so obscure sha512
password        [success=1 user_unknown=ignore default=die]     pam_krb5.so try_first_pass
password        requisite       pam_deny.so
password        required        pam_permit.so

/etc/pam.d/common-session
session [default=1]     pam_permit.so
session requisite       pam_deny.so
session required        pam_permit.so
session required        pam_unix.so
session optional        pam_ck_connector.so nox11
session required        pam_mkhomedir.so umask=0077

/etc/pam.d/common-session-noninteractive
session [default=1]                     pam_permit.so
session requisite                       pam_deny.so
session required                        pam_permit.so
session optional                        pam_umask.so
session required        pam_unix.so
session optional                        pam_winbind.so
------------------------------------------

По Mac - там всё ещё проще с настройкой, ничего особо править не надо. пару кнопок нажать.
Но пока результат тот же. нужно вводить имя и пароль - срабатывает только basic авторизация.
Кто-то уже подобное проделывал, может подсказать? в первую очередь интересует linux.
PS: про cntlm - знаю. тоже не подходит. проще уже галочку поставить и сохранить пароль.