Resolvendo problema com gateway padrão 0.0.0.0 no Windows Server 2008

Recentemente passamos por um problema no servidor de nossa entidade ao alterar o gateway pois ele não conseguia mais acessar sites externos. A principio pensamos que fosse problema com o servidor DNS que roda na mesma maquina pois o mesmo não conseguia resolver os encaminhadores. Logo essa possibilidade foi eliminada pois ao informar outros servidores DNS de terceiros continuava não navegando. O problema é que o gateway informado estava correto e funcionava em outras máquinas. Foi então que resolvemos usar o comando ipconfig /all. Dessa forma foi possivel perceber que havia dois valores para o gateway, o primeiro era 0.0.0.0 e em seguida o válido. Foi então que buscamos soluções na web e encontramos algumas que recomendava alteração do registro na seguinte chave:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\Tcpip\Parameters\Interfaces\

A orientação era para remover a chave DefaultGateway e desativar e reativar a placa de rede. Feito isso adicionado novamente o endereço do gateway e digitado o comando ipconfig /all sendo constatado que havia apenas o valor informado.

Após isso, o servidor voltou a funcionar normalmente;

Claudir Pereira dos Santos

Matelândia, 23 de outubro de 2013.

Adicionando máquina com openSUSE a domínio com Active Directory Windows Server 2008

-->


Essa dica foi adaptada de uma das referências citadas ao final. A mesma se propõe a demonstrar como adicionar uma máquina com openSUSE 64 bits a um domínio com Active Directory gerenciado pelo Windows Server 2008 64 bits. Este procedimento foi aplicado até versão 12.3 do openSUSE.

Com o firewall desativado, proceda da seguinte forma:

1. Registrar o controlador de domínio na lista de hosts da máquina cliente via Yast na opção "Serviços de rede\Nomes de máquina" ou editando o arquivo /etc/hosts Inserindo o IP, depois o nome totalmente qualificado e em seguida o nome curto do servidor:

Exemplo:

192.168.0.1   SRV01.DOMINIO.COM.BR   SRV01

2. editar o arquivo /etc/resolv.conf e adicionar seu controlador de domínio como "nameserver"

nameserver = SRV01.DOMINIO.COM.BR
ou
nameserver = 192.168.0.1

-->


3. Agora abrar o YAST e configurar Kerberos na opção "Serviços de rede\Cliente do Kerberos" e marque a opção "Usar Kerberos".
Muita atenção para o fato do realm ser em letras maiúsculas. se não estiver assim não funcionará. Insira os parâmetros da seguinte forma:

Domínio padrão: DOMINIO.COM.BR
Realm padrão: DOMINIO.COM.BR
Endereço do Servidor KDC: SRV01.DOMINIO.COM.BR

Clique em "Ok" e aceite a instalação dos pacotes pam_krb5 e krb5-client.

4. Agora configure o SAMBA com YAST ou pelo terminal. No Yast acesse a opção "Serviços de Rede\Servidor Samba".
Na tela que abrir na opção "Nome de Grupo de trabalho ou domínio" informe o nome do domínio sem o ".com.br", ou seja, apenas "DOMINIO". Na tela seguinte marque a opção "Não é um Controlador de Domínio". Em seguida marque para iniciar "Durante a inicialização". Vá a aba "identidade" e selecione em "Configurações avançadas" a opção "Configurações globais avançadas".
Altere aqui a opção "security" de "users"  para "ADS" e caso não exista adicione o seguinte parâmetro realm:  (Atenção para as letras em maiúsculo) realm = DOMINIO.COM.BR. Clique em "ok" e depois em "ok" novamente. Na tela que abrir clique em "Não participar".
Dica: Caso queira que as pastas dos usuários sejam criadas diretamente em /home/ altere o parâmetro template homedir para "/home/%U". O padrão é "/home/%D/%U". Com isso, durante o login do usuário é criado uma pasta como nome do domínio e dentro dela as pastas de usuário. Caso seja removida a opção %D, usuários do domínio que tenham contas locais na máquina, não poderão fazer logon.

5. Agora abra o YAST e vá na opção "Serviços de rede\Participação no domínio do Windows". Na tela que abrir marque as opções "Também usar informação SMB para autenticação Linux" e "Criar diretório pessoal no login". Se essa segunda opção não for marcada, ao iniciar o computador será gerado o erro "Cannot enter home directory. Using /". Clique em "Ok" e aceite a sugestão de instalação do pacote "samba-winbind', com isso também serão instaladas várias dependências.
Após a instalação será exibida uma mensagem informando que a máquina não é membro do domínio e solicitará se deseja "Entrar do domínio", clique em "Sim". O Sistema irá pedir um nome de usuário e senha. Deve ser informado um usuário administrador do servidor de domínio e sua senha. Após digitar usuário e senha, clique na opção "obter lista" para escolher em qual "OU" deseja incluir a máquina, caso contrário simplesmente clique em "Ok" para adicionar a "OU" padrão. Atenção! Se a opção obter lista não funcionar e usuário e senha estiverem corretos, verifique se foi adicionado em /etc/hosts o nome e IP do servidor como indicado no passo 1. Se tudo correu bem o sistema emitirá uma mensagem informando que a maquina ingressou no domínio com sucesso. Caso o login automático esteja habilitado o sistema solicitará a desativação. Após concluído esse processo, reinicie a máquina.

6. Agora o login já pode ser feito no domínio. Pode levar de 10 a 15 segundos para que apareça o domínio na lista, mas é só aguardar. Até que isso aconteça serão exibidas a opção local e null. Segue abaixo lista de alguns comandos e arquivos úteis para manutenção e configuração da participação em domínio Windows e alguns erros comuns.

Comandos

Para  logar no domínio
#kinit

Para ver os tickets emitidos
#klist

Para destruir a lista de tickets
#kdestroy

Testar configurações do samba
#testparm

Adicionar máquina ao domínio
#net ads join -UNomeUsuario

Verificar se foi adicionado com sucesso:
#net ads testjoin

Arquivos e diretórios usados na configuração:
/etc/hosts
/etc/krb5.conf
/etc/pam.d/
/etc/resolv.conf
/etc/samba/smb.conf
/etc/security/limits.conf

-->


Mensagens de erro: 

failed to join domain:
failed to find DC for domain [DOMINIO]
1 - Ligado ao arquivo /etc/resolv.conf tem que informar o endereço do servidor
2 - Ligada ao arquivo /etc/samba/smb.conf informação contida no parâmetro realm

No DNS domain configured for [host]. Unable to perform DNS Update.
1 - Alterar o arquivo /etc/hosts para  ficar da seguinte forma:
         127.0.0.1    nomedohost.dominio.com    nomedohost
         127.0.0.2    nomedohost.dominio.com    nomedohost

DNS update failed!
1 - Criar um  registro no DNS de Tipo A para o nomede host da máquina.


Failed to join domain: failed to connect to AD: Operations error
1- Ligado a falta do IP, nome totalmente qualificado e nome reduzido no servidor no arquivo /etc/hosts

Claudir Pereira dos Santos

Matelândia - PR, 25/08/2010.

Referência:
http://www.linuxquestions.org/questions/suse-novell-60/failed-to-join-domain-659062/
http://www.novell.com/pt-br/documentation/

Agendando reboot/desligamento do Windows Server 2008 R2

Em muitas ocasiões é necessário reiniciar um servidor, mas devido ao grande fluxo de uso não é possível fazer isso no horário normal de trabalho. Uma opção seria acordar de madrugada, acessar remotamente e efetuar o reboot. Isso não seria muito agradável para o administrador de rede. O melhor seria deixar o reboot a cargo do agendador de tarefas do próprio sistema. A questão é: Como fazer? O processo é bem simples, para isso é usado o programa shutdown do Windows. Para obter mais informações sobre o mesmo basta digitar shutdown do prompt de comando. Este comando não será explicado aqui em detalhes pois o próprio sistema já o faz. Para auxiliar quem está iniciando será apenas demonstrado como criar um arquivo bat para executar a tarefa. Veja o exemplo abaixo:

shutdown /r /d p:2:3 /c "Reboot agendado pelo Administrador para atualizacao SO." /f

Explicando o comando:

/r : informa que é um reboot e não desligamento;

/d : fornece o motivo do desligamento. A leta p diz que é um desligamento planejado e os paramentos 2:3 que é uma atualização do SO.

/c : Permite adicionar um comentário para ser lido no visualizador de eventos.

/f : força o desligamento.

Feito isso, salve o arquivo bat no servidor e agende a execução do mesmo para um horário de pouco uso do servidor.

Seria isso.

Claudir Pereira dos Santos

Matelândia, 07 de dezembro de 2012.

Windows Server 2008 64 Bits - Easy Print não imprime se não liberar acesso a pasta de Spool

Durante a implantação do Windows Server 2008 64 bits me deparei com um problema ao tentar usar o Easy Print, um recurso que acompanha o terminal service. Esse recurso tem a funcinalidade de possíbilitar o uso de impressoras via terminal service sem instalação. Para isso, segundo as informações da microsoft, bastaria ter instalado o RDP 6.1 e o .NET Framework 3.0 Sp1 ou superior. O problema é que não mencionaram a necessidade de liberar acesso para "todos" na pasta "c:\WINDOWS\system32\spool". Como o suporte para sistemas operacionais com finalidadades e servidor é pago, e bem pago, cerca de R$ 400 por chamado, tive que garimpar.

Se não é liberado acesso a esta pasta não é exibida nenhuma mensagem de erro, apenas não imprime. O erro pode ser visto apenas no visualizador de logs na opção sistemas. Primeiramente tentei liberar apenas para os usuários remotos, mas não deu, então liberei para "todos", ai funcionou sem problemas.

Seria isso pessoal.

 

 

Cordilmente;

 

 

Claudir P. Santos  Claupers

 

Matelândia-PR, 23/06/20009.

 

 

Instalando BrOffice via GPO em máquinas clientes em uma rede com dominio Windows Server 2008

Em uma empresa quando sai uma nova versão do BrOffice a atualização em todas as máquinas pode ser custosa caso não seja feito via GPO.

Vou mostrar aqui como atualizar o BrOffice em todas as máquinas clientes automaticamente.

Para isso você vai precisar do arquivo de instalação da versão anterior e da nova. Nesse exemplo serão usadas a versão 3.1 e 3.2.

1 - No servidor crie uma pasta para armazenar os arquivos de instalação e compartilhe na rede. No exemplo a pasta é D:\BrOffice.

2 - Dentro desta pasta crie uma pasta para cada versão do BrOffice; Exemplo: D:\BrOffice\V31 e  D:\BrOffice\V32.

3 - Execute os dois arquivos de instalação do BrOffice e indique um local para extração do arquivo. Após extrair ele vai iniciar a instalação, cancele o processo e vá para a etapa seguinte.

4 - Abra o prompt de comando e acesse a pasta onde você extraiu o arquivo da versão 3.1. Exemplo: D:\BrO31.

5 - execute o comando msiexec /a brofficeorg31.msi e siga as orientações na tela. Indique o local para geração dos arquivos como D:\BrOffice\V31. Faça o mesmo com a versão 3.2.

6 - Agora, após feito isso acesse Ferramentas Administrativas\Gerenciador de Diretivas de Grupo.

7 - Se não existir, crie uma diretiva de grupo para os computadores de sua rede. É importante lembrar que ela deve estar ligada ao container onde estão armazenados seus computadores.

8 - Após criada a diretiva de grupo clique com o botão direito sobre ela e escolha Editar.

9 - Navegue até a opção Configurações do Computador\Diretivas\Configurações de Softwares\Instalação de softwares. Clique com o botão direito na área em branco e escolha novo>pacote.

10 - Indique o local onde está o pacote do BrOffice 3.1 no caminho da rede. Por exemplo: \\Srv01\BrOffice\V31\brofficeorg31.msi. Tem que ser o caminho compartilhado da rede, pois se for o local os clientes não terão acesso.

11 - Na tela que abrir escolha a opção Atribuído e conclua o processo. Repita o processo 10 para a versão 3.2 mas escolha em seguida a opção Avançado.

12 - Na tela que abrir vá na aba Atualizações, clique em adicionar, selecione o pacote o BrOffice 3.1 e marque a opção Desinstalar o Pacote existente e Instalar o Pacote de Atualização. Clique em ok e feche as telas.

Se tudo correu bem, ao reiniciar as máquinas clientes que estão no container ao qual foi relacionado essa GPO o BrOffice será atualizado.

Fiz o teste apenas atualizando a versão 3.1 para a 3.2. Provavelmente para atualizar uma versão anterior você vai precisar do pacote de instalação, caso contrário o sistema não instala mesmo as versões sendo diferentes.

Talvez esse problema esteja ligado apenas a versões como mesmo número inicial como: 3.0, 3.1, 3.2 etc. Em uma versão inferior como 2.8 ou algo assim talvez não seja necessário o pacote anterior.

Claudir Pereira dos Santos

Matelândia/PR, 29/04/2010.

Instalando OpenSuse 11.2 x64 como guest sobre VMWare 2.0.2 rodando em Windows 2008 x64 – Hp Proliant ML 350 G5

-->

Para instalar OpenSuse 11.2 x64 sobre VMware 2.0.2 rodando em host com Windows Server 2008 x64 tive alguns problemas. Por várias vezes fiz a instalação mas a mesma não concluía corretamente. Quando concluía ao reiniciar gerava vários erros e acabava travando.

Após alguns buscas, encontrei na documentação do site da VmWare uma orientação para realizar a instalação e modo texto e durante o processo adicionar alguns pacotes. A recomendação era para o OpenSUSE 11.1 e não mencionava se era 64 bits ou não. Na primeira tentativa em modo texto obtive os mesmos erros após instalação.

Fiz mais algumas pesquisas e encontrei algumas referências para adicionar outros pacotes durante a instalação. Considerando os pacotes sugeridos pela documentação da VmWare e os que encontrei a lista total é a que segue abaixo:

gcc;

gcc-c++;

kernel-source;

kernel-headers;

kernel-syms;

Dessa vez fiz a instalação em modo texto e o processo concluiu sem problemas. No site da VmWare também menciona que no final do processo de instalação deve ser pulado o teste da conexão com a internet. A documentação não dizia o porque.

A exigência desses pacotes estão ligados a necessidade de instalação da VmWare Tools. O caso é que durante a instalação o OpenSuse 11.2 x64 instala a Open-VmWare-Tools que não funciona 100%. O que fiz então foi remover os pacotes:

libvmtools0;

open-vm-tools;

open-vm-tools-gui; e

vmware-guest-kmp-defalut;

Em seguida usei o arquivo Linux.iso da pasta C:\Program Files (x86)\VMware\VMware Server para montar o drive de CD no sistema guest OpenSuse 11.2 x64.

-->



Dentro do drive existe um arquivo RPM e outro tar.gz. Nessa primeira etapa usei o tar.gz.

Extrai o pacote tar.gz com o seguinte comando:

#tar -zxvf nomedoarquivo.tar.gz

Após extrair os arquivos executei o script perl que está dentro da pasta:

vmware-tools-distrib\vmware-install.pl

para isso acessei a pasta e executei o comando da seguinte forma:

./vmware-install.pl

Aceitei o que é sugerido pelo sistema e fui pressionando enter.

No final do processo de instalação o script sugere a execução do script de configuração.

O local do mesmo é  /usr/bin/vmware-config-tools.pl. 

./vmware-config-tools.pl

-->

Já no início o script avisa que os módulos disponíveis não estão de acordo com o kernel e sugere a compilação do mesmo. O problema é que o gcc do OpenSuse 11.2 x64 é o 4.4 e o sistema acusa que o kernel foi compilado na versão 4.4.1. Em uma das tentativas até tentei compilar mas deu erros no comando make. Então aceitei os módulos já prontos.

Após executar a configuração reiniciei o sistema e execute o pacote RPM dentro do cd. Com isso ele adicionou o VmWare-Tools ao gerenciador de pacotes, mas ao reiniciar o sistema o VmWare Server não reconhecia o VmWare Tools. Tive que executar o sicript de configuração novamente:

./vmware-config-tools.pl

Mesmo assim o VmWare Tools não funcionou corretamente, dessa forma fiz novamente toda instalação via tar.gz. Aparentemente o VmWare Tools não está funcionando 100% . O ponteiro do mouse as vezes some na tela e seu funcionamento não e muito transparente entre o host e o guest. A área de transferência esta funcionando normalmente.

Bom, seria isso, se alguém conseguir instalar sem nenhum erro é só entrar em contato.

Claudir Pereira dos Santos

Matelândia, 20/05/2010

Acessando RemoteApp em um servidor Windows Server 2008 64 bits de uma estação openSUSE 11.3 64 bits

O Windows Server 2008 64 bits trouxe um novo conceito de uso do Terminal Service, o RemoteApp TS. Ele é uma implementação do Terminal Server que permite ao administrador disponibilizar atalhos para programas publicados através no console "Gerenciador de RemoteApp TS". A vantagem é o fato que quando o usuário clica nesses atalhos tem acesso apenas ao programa sem que seja necessário abrir a tela do servidor, o que acaba expondo um pouco mais a máquina. Dessa forma a execução e transparente e para um usuário mais desatento pode parecer que o aplicativo está rodando localmente.Esses atalhos gerados tem a extensão "RDP" e podem ser distribuídos para os usuários nesse formato. Para facilitar mais o processo, também existe a possibilidade de, dentro do console "Gerenciador de RemoteApp TS", gerar um arquivo "MSI" para distribuir automaticamente via GPO ou como convir. Ao executar esse arquivo, os atalhos são criados conforme configurado previamente no console, sendo que ainda é possível customizar o ícone.
Bom, isso tudo que foi exposto é o procedimento para quem usa uma máquina cliente com Windows instalado. Infelizmente essa distribuição de arquivos "RDP" ou "MSI" não funcionam para clientes Linux.





Mas não fique triste, você não vai ter que abandonar seu Pinguim para acessar os aplicativos de sua empresa distribuídos via RemoteApp de forma transparente. Para resolver esse problema a CENDIO desenvolveu o SeamlessRDP (Arriscando uma tradução: RPD transparente).
Para instalar o programa, baixe o SeamlessRDP de http://www.cendio.com/seamlessrdp/ em formato zip e extraia seu conteúdo no servidor com Windows Server 2008 64 bits, por exemplo, em "c:\linuxRdp\".
Em seguida, deve-se  publicar no Windows Server 2008 64 bits atravéz do "Gerenciador de RemoteApp TS" os executáveis do programa na versão 64 bits "C:\linuxRdp\seamlessrdpshell64.exe" ou versão 32 bits "C:\linuxRdp\seamlessrdpshell.exe". Após isso deve se marcar a propriedade "Permitir qualquer argumento de linha de comando" para o arquivo publicado. O Windows vai emitir uma mensagem lhe informando dos riscos. Se você não ativar essa opção não será emitida nenhuma mensagem de erro durante a conexão, mas você não vai conseguir se conectar.
Uma observação. É comum após uma tentativa de acesso com um login de usuário a seção ficar aberta no servidor. Se você tentar conectar com o mesmo usuário é provável que você não consiga. Para resolver esse problema pode se optar por uma das opções abaixo:

• esperar o tempo de encerramento de seção definido no servidor;
• acessar o servidor e redefinir a conta do usuário; ou
• acessar com outro usuário.

Seguido os passos acima, o servidor Windows Server 2008 64 bits está pronto para receber conexões de uma máquina Linux. Nesse exemplo foi usado a distro openSUSE 11.3 64 bits.
Com o rdesktop instalado você pode digitar em um terminal de sua preferência a seguinte linha de comando:

rdesktop -a 15 -k pt-br -A -s "C:\linuxRdp\seamlessrdpshell64.exe c:\pasta\programa.exe" 192.168.0.1:3389 -u dominio\\usuario -p senha

Explicando o comando:
rdesktop chama o programa;
-a define a profundidade de cor para 15 bits;
-k define o teclado para pt-br;
-A Ativar o modo transparente de acesso;
-s Script de conexão;
Em alguns programas é necessário informar o diretório de trabalho. Isso deve ser feito incluindo "-c" logo após o  parametro de"-s". O resultado na linha acima seria o seguinte:

rdesktop -a 15 -k pt-br -A -s "C:\linuxRdp\seamlessrdpshell64.exe c:\pasta\programa.exe"  -c "c:\pasta" 192.168.0.1:3389 -u dominio\\usuario -p senha






Não coloque barra no final do diretório de trabalho, pois dessa forma o sistema não irá abrir e nem retornará mensagem de erro.
Na primeira tentativa de acesso houve um problema retornando a mensagem "falha de segmentação". O openSUSE 11.3 64 bits estava rodando o rdesktop instalado por padrão. Após algumas pesquisas foi constatado usuários com o mesmo problema sendo o mesmo resolvido removendo e instalando novamente o rdesktop.
Para isso basta abrir o "Gerenciador de Softwares" e remover o rdesktop. Em seguida instale novamente o rdesktop, mas dessa vez o de 32 bits. Com isso os acessos devem funcionar sem problemas. Na versão 64 bits o erro persistiu.
Bom seria isso. Fica aqui a dica para quem usa Linux e trabalha em rede corporativa que tem um servidor com Windows Server 2008 64 bits instalado.
Como recomendação para novos estudos ou um feedback nos comentários, fica o seguinte:

Resolver problema visual que ocorre quando a tela é redimensionada ao clicar em maximizar:
Quando a tela e redimensionada o programa em uso apresenta alguns problemas estéticos de renderização.
Sanar a seguinte mensagem de erro:
WARNING: Broken Window Manager: Unable to test window restacking

Fazer com que a seção com o servidor seja encerrada ao fechar o sistema:
Após fechar o sistema a cessão continua aberta com o servidor ficando apenas com estado "Desconectada";


Claudir Pereir dos Santos

Matelândia, 27/07/2010.

Referências:

CENDIO. SeamlessRDP. Disponível em: <http://www.cendio.com/seamlessrdp/>. Acesso em: 22 jul. 2010.

Usando impressora local no openSUSE 11.3 64 bits com rdesktop acessando Windows Server 2008 64 bits

Aos que usam rdesktop para acessar um servidor com Windows Server 2008 64 bits, aqui vai uma dica para usar a impressora que está ligada localmente a sua estação de trabalho. Neste exemplo foi usado a distro openSUSE 11.3 64 bits e também o recurso de seamless fornecido pelo programa SeamLessRDP da CENDIO. Para saber mais, leia um outro post meu aqui no blog que explica como usar SeamLess.
O comando do rdesktop para usar sua impressora local é o seguinte:

rdesktop -r printer:"Drive_Local=Drive Remoto" -a 15 -G -k pt-br -A -s "C:\seamlessrdpshell64.exe d:\pasta\programa.exe" -c "d:\pasta" 192.168.0.1:3389 -u dominio\\usuario -p senha






Explicando as partes importantes do código para uso da impressora:
-r printer: você está dizendo ao sistema que irá usar um impressora;
Drive_Local: Esse é o nome de sua impressora localmente. Deve ser exatamente igual ao informado na aba Printers, coluna queue name do CUPS.
Drive Remoto: Para que seja possível usar sua impressora em impressão via rdesktop, você deve disponibilizar o drive da mesma no Windows Server 2008 64 bits. Isso pode ser feito através do Painel de Controle\Impressoras\Propriedades do Servidor. Na tela que abrir, vá até a aba Drives e clique em adicionar. A partir daqui é só seguir as orientações na tela. Observe também se na lista já não existe o drive de sua impressora. Se existir, basta informar o drive nesse parâmetro do rdesktop da mesma forma que está na lista, com espaços e caracteres.
Os outros parâmetros não são ligadas ao uso da impressora. O único que merece comentário é o "-A" que ativa o recurso SeamLessRDP. Para saber mais a respeito, veja uma outra dica minha com informações a respeito.
Seria Isso.

Cordialmente;

Matelândia, 27/07/2010.

Claudir Pereira dos Santos

Autenticando squid 3 no Active Directory do Windows Server 2008 64 bits

Essas configurações foram aplicadas em uma máquina rodando o openSUSE 11.3 64 bits. O Active Directory é mantido pelo Windows Server 2008 64 bits em uma máquina com IP 192.168.0.1. O squid usado foi o 3.0.STABLE25. O domínio usado para fins didáticos é dominio.com. O usuário do Active Directory foi o Administrador e senha 123456. Muita atenção, deve ser usado o cn do usuário e não o nome de login. Sugiro usar o Navegador LDAP que está o yast para verificar as informações corretamente. Outro ponto que deve ser ressaltado que  você deve identificar corretamente os parâmetros da linha de autenticação, não tome os valores do exemplo como absoluto. Verifique na sua base LDAP se a informação que vocês está inserindo é realmente uma "ou" ou um "cn". Se essas informações não estiverem corretas o processo simplesmente não funcionará. Mais uma vez sugiro o navegador LDAP do yast, ele ajuda muito nesses casos. Caso tenha problemas, verifique sempre o arquivo de log  /var/log/squid/cache.log, ele tem informações úteis sobre todo o processo.

Para iniciar o processo, primeiramente deve se instalar o Squid. Isso pode ser feito pelo comando abaixo:

# zypper install squid3

Ao final do processo de instalação, faça uma cópia do arquivo /etc/squid/squid.conf com o seguinte comando:


# cp /etc/squid/squid.conf /etc/squid/squid.comentado

Dessa forma é possível preservar o arquivo que é praticamente um manual do Squid. Agora remova os comentários do arquivo original com o seguinte comando:


# cat /etc/squid/squid.conf |grep -v "#" > /etc/squid/squid.temp

Depois remova as linhas em branco com esse comando:


# egrep -v "^>|^$" /etc/squid/squid.temp > /etc/squid/squid.conf

Para esse teste, foi criado na base do Active Directory um grupo com nome de SquidAcessoRestrito do qual farão parte usuários da rede que só podem acessar determinados sites corporativos. O que vai acontecer é que esses usuários ao tentar acessar, por exemplo, o google.com.br, Ele será solicitado infinitamente a informar usuário e senha e não conseguira fazer acesso. Já os sites liberados serão acessados sem solicitação de usuário e senha em toda a rede.

Segue abaixo as configurações do squid:

#Servidores DNS
dns_nameservers 192.168.0.1

#CONFIGURAÇÕES GERAIS
http_port 3128
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
minimum_object_size 0 KB
maximum_object_size 4096 KB
cache_swap_low 90
cache_swap_high 95
fqdncache_size 1024
log_fqdn off
cache_replacement_policy lru
memory_replacement_policy lru
cache_dir ufs /var/cache/squid 100 16 256
cache_access_log /var/log/squid/access.log
cache_store_log /var/log/squid/store.log
logfile_rotate 9

#AUTENTICAÇÃO DO DOMINIO
#Atenção! A linha de autenticação começa aqui
auth_param basic program /usr/sbin/squid_ldap_auth -R -b "dc=dominio,dc=com" -D "cn=Administrador,cn=Users,dc=dominio,dc=com" -w "123456" -f sAMAccountName=%s -h 192.168.0.1:389
#Atenção! Aqui termina a linha de autenticação
auth_param basic realm ATENCAO! Este acesso sera registrado. Digite seu usuario e senha.
auth_param basic children 5
auth_param basic casesensitive off
auth_param basic credentialsttl 1 minutes

emulate_httpd_log off
mime_table /etc/squid/mime.conf
pid_filename /var/run/squid.pid
ftp_passive on
unlinkd_program /usr/sbin/unlinkd

#ACLS EXTERNA PARA AUTENTICACAO NAS BASES LDAP DO PDC
#Atenção! A linha de verificação dos grupos começa aqui.
external_acl_type ldap_group %LOGIN /usr/sbin/squid_ldap_group -R -b "dc=dominio,dc=com" -D "cn=Administrador,cn=Users,dc=dominio,dc=com" -w "123456" -f "(&(objectclass=person)(sAMAccountName=%v)(memberof=cn=%a,ou=UsuLocais,dc=dominio,dc=com))" -h 192.168.0.1
#Atenção! A linha de verificação dos grupos termina aqui.

#ACLS
acl manager proto cache_object
acl localhost    src  127.0.0.1/32
acl to_localhost dst  127.0.0.0/8 0.0.0.0/32
acl localnet     src  192.168.0.0/24 # que vem da rede local
acl to_localnet  dst  192.168.0.0/24 #que vão para a rede local
acl SSL_ports    port 443
acl Safe_ports   port 21 22 70 80 210 289 443 488 591 777 1025-65535
acl CONNECT method CONNECT
acl liberados url_regex  -i unimedmedianeira hilum hospitalpadretezza
acl DomBloq dstdomain -i .xpto.com.br
acl DomLibe dstdomain -i.vivaolinux.com.br
acl ExtBloq url_regex -i      .mp3$ .zip$
acl ldapAcessoRestrito external ldap_group SquidAcessoRestrito
acl SolicitarAutenticacao proxy_auth REQUIRED

#CONTROLES DE ACESSO HTTP
#Libera acessos a alguns sites sem autenticação para todos
http_access allow liberados
#Solicita autenticação. Se não autenticar, bloqueia conexão.
http_access deny !SolicitarAutenticacao
#Libera acesso a sites ou serviços http na rede interna
http_access allow to_localnet
#Bloqueia acesso aos usuários registrados no grupo SquidAcessoRestrito do Active Directory
http_access deny ldapAcessoRestrito
http_access allow DomLibe
http_access deny  DomBloq
http_access deny  ExtBloq
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow  all
cache_effective_user nobody
cache_effective_group nobody
visible_hostname proxy_openSUSE113
unique_hostname  proxy_openSUSE113

#CONTROLES DE ACESSO ICP
icp_access allow localnet
icp_access allow  all

#CONTROLES DE ACESSO HTCP
htcp_access allow localnet
htcp_access deny all

#GRAVAÇÃO DE LOGS
cache_log /var/log/squid/cache.log


#REFRESHS
refresh_pattern ^ftp:              1440    20%    10080
refresh_pattern ^gopher:           1440     0%     1440
refresh_pattern -i (/cgi-bin/|\?)     0     0%        0
refresh_pattern .                     0    20%     4320

icp_port 3130

#CONFIGURAÇÕES DE CACHE
cache_mem 64 MB
maximum_object_size_in_memory 32 KB

cache_mgr webmaster@hospitalpadretezza.com.br
mail_program mail

#OUTRAS CONFIGURAÇÕES
coredump_dir /var/cache/squid

connect_timeout 1 minutes
client_lifetime 5 minutes #days
icon_directory /usr/share/squid/icons
error_directory /usr/share/squid/errors/Portuguese

Feito isso basta iniciar o squid com o seguinte comando:

# /etc/init.d/squid start



Caso faça alguma alteração posterior para aplicar basta executar  este comando:


# squid -k reconfigure

Para ver o sitados do squid digite:


# rcsquid status

Seria isso, com essas configurações já é para o Squid estar funcionando corretamente.

Claudir Pereira dos Santos

Matelândia - PR

Referências

BATISTA, L. C. Squid autenticando em base Active Directory. Disponível em: <www.vivaolinux.com.br>. Acesso em: 08 dez. 2010.