25、基于开源方案实现Active Directory集成的Squid代理服务

基于开源方案实现Active Directory集成的Squid代理服务

1. 背景介绍

Abmas Snack Foods拥有数千名分布在总部、多个地区办事处、工厂和仓库的用户。该企业大部分工作依赖在线完成，因此多数用户都需要访问互联网。所有互联网访问都通过总部进行，这由网络团队负责。此前，团队使用Microsoft ISA，但它未达营销承诺，性能不佳且可靠性有问题。不过，ISA与Active Directory的集成功能受到认可，用户登录后可自动通过代理进行身份验证。现在，我们有机会展示开源方案的优势，若替代方案能在Active Directory域中无缝运行，将被采纳。

2. 关键需求分析

此业务场景的关键需求明确，无需创新，只需复制现有系统，保留所有功能并提升性能。关键要点如下：
- 为多数员工提供互联网访问。
- 采用分布式系统，以适应负载和用户地理分布。
- 与现有Active Directory域实现无缝透明的互操作性。

3. 技术原理

用户使用Internet Explorer向Squid代理请求浏览会话时，会提供其AD身份验证令牌。Squid将身份验证请求传递给Samba - 3的身份验证辅助应用程序ntlm_auth，该辅助程序与winbind（Samba - 3的NTLM身份验证守护进程）关联。Winbind使UNIX服务能够针对Microsoft Windows域（包括Active Directory域）进行身份验证。由于Active Directory身份验证是修改后的Kerberos身份验证，winbind会借助本地Kerberos 5库与Active Directory服务