Quelqu'un at-il pu obtenir SharePoint en utilisant NTLM fonctionnant avec SQUID comme proxy inverse?

Question

1. Nous avons un proxy inverse SQUID et un portail MOSS 2007. Tous les sites utilisent NTLM.
2. Nous ne pouvons pas le faire fonctionner avec SQUID en tant que proxy inverse.

Des idées par où commencer?

Answer 1

Pouvez-vous passer à Kerberos au lieu de NTLM?

Vous rencontrez le "problème du double saut", par lequel l'authentification NTLM ne peut pas traverser les proxies ou les serveurs.

Ceci est souligné à cet endroit: http://blogs.msdn.com/knowledgecast/archive/2007/01/31/the-double-hop-problem.aspx

Et ici: http://support.microsoft.com/default.aspx?scid=kb;en-us;329986

Problème Double-Hop La question de la double-hop est lorsque la page ASPX tente d'utiliser les ressources qui sont situé sur un serveur différent du serveur IIS. Dans notre cas, le premier «saut» provient du client du navigateur Web vers la page IIS ASPX; le deuxième saut est à l'AD. L'AD nécessite un jeton principal. Par conséquent, le serveur IIS doit connaître le mot de passe pour que le client transmette un jeton principal à l'AD. Si le serveur IIS a un jeton secondaire, les informations d'identification du compte NTAUTHORITY \ ANONYMOUS sont utilisées. Ce compte n'est pas un compte de domaine et a un accès très limité à l'AD.

Le double saut utilisant un jeton secondaire se produit, par exemple, lorsque le client du navigateur est authentifié sur la page ASPX IIS à l'aide de l'authentification NTLM. Dans cet exemple, le serveur IIS a une version hachée du mot de passe suite à l'utilisation de NTLM. Si IIS se retourne et transmet les informations d'identification à l'AD, IIS transmet un mot de passe haché. L'AD ne peut pas vérifier le mot de passe et, à la place, s'authentifie en utilisant la connexion NTAUTHORITY \ ANONYMOUS. D'autre part, si votre client de navigation est authentifié sur la page ASPX IIS en utilisant l'authentification de base, le serveur IIS a le mot de passe client et peut faire passer un jeton principal à l'AD. L'AD peut vérifier le mot de passe et s'authentifier en tant qu'utilisateur du domaine. Pour plus d'informations, cliquez sur le numéro ci-dessous pour afficher l'article dans la Base de connaissances Microsoft: 264921 (http://support.microsoft.com/kb/264921/) Comment IIS authentifie les clients navigateur

Si le passage à Kerberos est pas une option, avez-vous enquêté sur le Squid Projet NTLM? http://devel.squid-cache.org/ntlm/

Answer 2

vous pouvez utiliser HAProxy pour l'équilibrage de charge