👆🏻 👩🏽‍💻 🐥 विंडोज डोमेन में स्क्वीड-आधारित फेलओवर प्रॉक्सी 🏿 🛁 ✏️

UPD: मेरे कॉन्फ़िगरेशन और नकारात्मक टिप्पणियों के लेखकों द्वारा उपयोग की जाने वाली मेमोरी के बीच अंतर इस तथ्य के कारण होता है कि स्क्विड के साथ, मानक स्क्रिप्ट wbinfo_group.pl के अलावा, जिसके साथ डोमेन उपयोगकर्ता एक डोमेन समूह से संबंधित है, एक स्क्रिप्ट का उपयोग किया जाता है जो यह निर्धारित करता है स्क्वीड के लिए उपयोगकर्ता लॉगिन आदेश में उपयोगकर्ता को उन अधिकारों को प्रदान करने में सक्षम होने के लिए है जो उनके समूह को दिए गए अलग-अलग हैं।

एक बार, एक बरसात की ग्रे शाम को, मुझे एक प्रॉक्सी सर्वर को लागू करने की आवश्यकता थी, लेकिन एक साधारण नहीं, लेकिन एक जिसमें निम्नलिखित कार्यक्षमता होगी:

एक विशिष्ट सक्रिय निर्देशिका समूह में खाते की सदस्यता के आधार पर पहुंच का प्रावधान / प्रतिबंध;
खाते को दिए गए अधिकारों के आधार पर पहुंच प्रदान करना / प्रतिबंधित करना (उदाहरण के लिए, पूरे समूह को खोज इंजन का उपयोग करने की अनुमति देना, और इस समूह के सबसे चालाक उपयोगकर्ता के लिए सख्ती से परिभाषित खोज इंजन को अक्षम करना);
"वीआईपी" मैक पते के लिए किसी भी प्रतिबंध के बिना पहुंच प्रदान करना;
सभी उपयोगकर्ताओं के लिए संसाधनों का एक न्यूनतम सेट तक पहुंच प्रदान करना (गैर-डोमेन वाले सहित);
प्रॉक्सी सर्वर के साथ काम करने के लिए उपयोगकर्ता को जो मूवमेंट करने चाहिए, उन्हें न्यूनतम किया जाना चाहिए;
प्रॉक्सी सर्वर प्रशासन वेब इंटरफेस के माध्यम से किया जाता है;
इस प्रॉक्सी सर्वर के स्वामित्व की कुल लागत न्यूनतम होनी चाहिए।

स्वाभाविक रूप से, मेरी नजर ntlmssp प्रमाणीकरण के साथ स्क्विड पर पड़ी। वेब इंटरफेस के माध्यम से स्क्वीड को कॉन्फ़िगर करने के लिए एक उपयोगिता थी - एसईएमएस। लेकिन किसी तरह मैं उसके साथ एक साथ नहीं बढ़ा: या तो php संस्करण को 5.3 से 5.2 तक वापस रोल करना पड़ा, फिर वह डोमेन से नहीं जुड़ा, फिर उसने उपयोगकर्ताओं को नहीं देखा। किसी भी तरह से मैं यह नहीं कहना चाहता हूं कि यह एक बुरा उत्पाद है, मेरे दोस्त ने इसे तैनात किया और इसे ट्यून किया (इसलिए स्रोत विश्वसनीय है), बस सितारों के स्थान ने मुझे शमौन के अनुयायी बनने की अनुमति नहीं दी।
Google, विभिन्न उत्पादों और समाधानों के साथ बहुत अधिक पीड़ा, मैंने सोचा: "कॉन्फ़िगरेशन का सार स्क्विड.कॉन्फ़ फाइल उत्पन्न करना है, मैंने किसी तरह से php को लिखा था, लेकिन वेब इंटरफ़ेस को स्वयं क्यों लागू नहीं किया?" जल्द ही, बैग भागे, उपयोगकर्ताओं ने डांटा, मुझे इंटरनेट संसाधनों तक पहुंच खोलने पर सेवा नोट लाए।
ऐसा लगता है, जीवन से और क्या चाहिए? लेकिन नहीं, कुछ समय बाद, समाधान के बुनियादी ढांचे में कई कमियां सतह पर क्रॉल हो गईं।

यदि डोमेन नियंत्रक खराबी करता है, और यदि वह इसके साथ संपर्क खो देता है, तो बाहरी दुनिया के साथ बैकअप संचार चैनल, जो इंटरनेट है (और मुख्य एक कॉर्पोरेट मेल है), कार्य करना बंद हो गया, क्योंकि उपयोगकर्ता लॉग इन नहीं कर सके।
उपयोगकर्ता प्रॉक्सी में ntlmssp प्रोटोकॉल का उपयोग कर हेल्पर (तेल) ntlm_auth का उपयोग करके लॉग इन करता है, जिसमें से एक उदाहरण रैम में लगभग 60 मेगाबाइट पर होता है।

जैसा कि आप देख सकते हैं, विंडबिन्ड प्रक्रिया, जो समान मात्रा में मेमोरी खाती है, प्राधिकरण में भी शामिल है। कुल 120 मेगाबाइट प्रति अनुरोध। प्रायोगिक रूप से यह पाया गया कि ऑर्टोरी_परम एनटीएलएम चिल्ड्रेन पैरामीटर, प्राधिकरण के लिए थ्रेड्स की संख्या को दर्शाता है, उपयोगकर्ताओं की संख्या लगभग 10% से अधिक होनी चाहिए। Cort_param ntlm बच्चों के साथ = 200, 600 मेगाबाइट मेमोरी का उपयोग प्रॉक्सी सर्वर पर किया जाता है।

यह प्रायोगिक रूप से पाया गया है कि यदि मेल एजेंट और अन्य शरारत वाले 150 उपयोगकर्ता प्रॉक्सी पर काम कर रहे हैं, तो सर्वर अप्रत्याशित रूप से व्यवहार कर सकता है, उदाहरण के लिए, डोमेन नियंत्रक के साथ फ्रीज, कनेक्शन खोना आदि। फिर से, मैंने ध्यान दिया कि शायद यह मेरी वक्रता है, लेकिन यह वह थी जिसने मुझे इस ओपस के विषय को समझने के लिए प्रेरित किया।
सीपीयू संसाधन व्यावहारिक रूप से शामिल नहीं हैं, जबकि बड़ी मात्रा में रैम का आरक्षण है।

तदनुसार, नई विशलिस्ट दिखाई दी।

प्रॉक्सी सर्वर पर लोड को कम करें और कलाई के फ्लिक के साथ प्रॉक्सी सर्वर की संरचना का विस्तार करने का अवसर प्राप्त करें।
यदि प्राधिकरण के साथ समस्याएं हैं, तो गैर-डोमेन कॉन्फ़िगरेशन पर स्विच करें, और यदि समस्याएं गायब हो जाती हैं, तो डोमेन कॉन्फ़िगरेशन पर वापस जाएं। रास्ते के साथ, आप उभरती और गायब होने वाली समस्याओं के व्यवस्थापक को सूचित कर सकते हैं।

कम प्रॉक्सी सर्वर लोड + स्केलेबिलिटी

समाधान के लिए प्रारंभिक बिंदु iptables में संतुलन लोड करने की क्षमता है।

# iptables -t nat -A PREROUTING --dst $GW_IP -p tcp --dport 3128 -m state --state NEW -m statistic --mode nth --every 3 --packet 0 -j DNAT --to-destination $PROXY1 #iptables -t nat -A PREROUTING --dst $GW_IP -p tcp --dport 3128 -m state --state NEW -m statistic --mode nth --every 3 --packet 1 -j DNAT --to-destination $PROXY2 #iptables -t nat -A PREROUTING --dst $GW_IP -p tcp --dport 3128 -m state --state NEW -m statistic --mode nth --every 3 --packet 2 -j DNAT --to-destination $PROXY3

इस सूची के लिए कोड आपको तीन प्रॉक्सी सर्वर के बीच लोड को समान रूप से वितरित करने की अनुमति देता है। अब हमें तीन प्रॉक्सी की आवश्यकता है जो एक आईपी पते के पीछे छिपी होगी। नीचे दिए गए आंकड़े में मेरा समाधान प्रस्तुत किया गया है।

लीजेंड:

लैन 192.168.0.0/24 - स्थानीय क्षेत्र नेटवर्क;
प्रॉक्सी - प्रॉक्सी सर्वर जो उपयोगकर्ता देखता है;
LAN 192.168.1.0/24 - प्रॉक्सी सर्वर के लिए स्थानीय क्षेत्र नेटवर्क;
PROXY1..PROXYN - लिनक्स ओएस पर आधारित आभासी मशीनें, जिस पर स्क्वीड तैनात है, और सांबा, सक्रिय निर्देशिका के साथ एकीकृत है;
PROXY_CONFIG - एक वर्चुअल मशीन जिस पर प्रॉक्सी सर्वर प्रबंधन इंटरफ़ेस तैनात है।

इस मामले में, उपयोगकर्ता जिस "प्रॉक्सी सर्वर" को देखता है, वह वास्तव में वर्चुअल मशीनों का एक हाइपरवाइजर है, जिस पर प्रॉक्सी सर्वर की आवश्यक संख्या और उन्हें प्रबंधित करने के लिए इंटरफ़ेस तैनात हैं।

इस संरचना के साथ, आप आसानी से प्रदान कर सकते हैं:

पैकेट वीआईपी वीआईपी मैक पते से पासिंग बाईपास प्रॉक्सी;
परदे के पीछे की मापनीयता;
एक विफलता के बाद तेजी से वसूली;
स्क्वीड के कॉन्फ़िगरेशन के साथ प्रयोग करने के लिए फ़ील्ड (इसके लिए एक नई वर्चुअल मशीन को तैनात करने और उस पर सब कुछ परीक्षण करने के लिए पर्याप्त है);
प्रॉक्सी पूल से समस्या वर्चुअल मशीन का त्वरित निष्कासन;
हार्डवेयर संसाधनों का कम या ज्यादा इष्टतम उपयोग।

स्क्विड का कॉन्फ़िगरेशन सभी प्रॉक्सी के लिए समान है, इसलिए स्क्वीड.कॉन्फ़ फ़ाइल एक नेफ़्स बॉल में PROXY_CONF कंप्यूटर पर संग्रहीत है।

इस योजना को लागू करने के लिए, निम्नलिखित हार्डवेयर और सॉफ्टवेयर घटकों का उपयोग किया गया था:

कंप्यूटर CPU कोर i3 / RAM 4 Gb / HDD 500 Gb;
ओएस उबंटू-सर्वर 11.04;
वर्चुअलबॉक्स + phpvirtualbox।

कंप्यूटर को चालू और बंद करते समय वर्चुअल मशीन को स्वचालित रूप से चालू और बंद करने के लिए, vmstart और vmstop स्क्रिप्ट को लिखा गया था कि सभी वर्चुअल मशीनों को चालू और बंद करें। मैं उनकी सामग्री नहीं दूंगा, क्योंकि यह बस मशीन की स्थिति की जांच करने के लिए पिंग के साथ संयोजन में VBoxHeadless और VBoxManage कमांड का उपयोग कर रहा है।
इस प्रकार, कई कार्य हल किए गए थे:

प्रॉक्सी सर्वर पर लोड को कम करना - नए कनेक्शन के लिए अनुरोध के साथ पैकेट को प्राथमिकता के क्रम में एन वर्चुअल प्रॉक्सी सर्वरों में बिखेर दिया जाता है, 650 एमबी रैम वाला एक प्रॉक्सी सर्वर, ऑस्ट्रल_परम एनटीएलएम बच्चों = 200 के साथ काफी आरामदायक है, जिसमें तीन प्रॉक्सी के साथ प्राधिकरण प्रवाह की संख्या है पहले से ही 600 के बराबर;
स्केलेबिलिटी - यदि आवश्यक हो, तो सर्वर को अनलोड करें, आप बस मौजूदा प्रॉक्सी की हार्ड ड्राइव को कॉपी कर सकते हैं और 5-10 मिनट में पूरी लड़ाकू तत्परता में एक नई मशीन बना सकते हैं;
हार्डवेयर संसाधनों का तर्कसंगत उपयोग - दो पिछले कार्यों को प्रोसेसर पर बढ़ते लोड के कारण हल किया गया है;
दोष सहिष्णुता - PROXY_CONFIG और PROXY1 मशीनों की प्रतियां होना पर्याप्त है और एक गिरावट के बाद आप धीरे-धीरे कॉफी पीकर पूरी योजना को बहाल कर सकते हैं, और मन की पूर्ण शांति के लिए आप समय-समय पर हाइपरविजर की हार्ड ड्राइव का बैकअप ले सकते हैं, क्योंकि लिनक्स किसी अन्य सिस्टम यूनिट में हार्ड ड्राइव डालने की कोशिश करते समय ब्लू स्क्रीन में नहीं गिराएगा।

डोमेन और गैर-डोमेन कॉन्फ़िगरेशन के बीच स्वचालित स्विचिंग

समय ने दिखाया है कि विफलताओं के मामले में, यह अच्छा होगा यदि प्रॉक्सी सर्वर यह निर्धारित कर सके कि डोमेन नियंत्रक से कनेक्शन के साथ सब कुछ सामान्य है, या अन्यथा एक नियंत्रक-स्वतंत्र कॉन्फ़िगरेशन लागू करें, और नियंत्रक को पुनर्स्थापित करते समय, जिसके लिए कार्यक्षमता पर वापस लौटें यह सब कल्पना है।
कम शब्द, अधिक कार्रवाई!

 #!/bin/bash # ,        /bin/ls -la /etc/squid/squid.conf | /bin/grep 'local' LOCAL=$? echo Local configuration - $LOCAL # ,     /usr/bin/ntlm_auth --username=ad_user --password=ad_pass 2>/dev/null 1>/dev/null if [ $? != 0 ]; then #     echo No connection with domain if [ $LOCAL -eq 1 ]; then #       #      echo Reconfigure to local /bin/rm /etc/squid/squid.conf /bin/ln -s /etc/squid/squid.conf.local /etc/squid/squid.conf /usr/sbin/squid -k reconfigure #     ,   /usr/bin/php5 /home/squiduser/mail/mail.php 'from' 'Proxy XX - Gone to non-domain mode' '=(' fi #     /etc/init.d/joindomain else #       echo OK connection to domain if [ $LOCAL -eq 0 ]; then #       #      echo Reconfigure to domain /bin/rm /etc/squid/squid.conf /bin/ln -s /var/www/squid/squid.conf /etc/squid/squid.conf /usr/sbin/squid -k reconfigure #    ,       /usr/bin/php5 /home/squiduser/mail/mail.php 'from' 'Gone to domain mode' '=)' fi fi

टिप्पणी:

फ़ाइल /etc/squid/squid.conf स्थानीय या डोमेन कॉन्फ़िगरेशन (squid.conf और squid.conf.local) के साथ एक प्रतीकात्मक लिंक फ़ाइलें है;
अधिसूचना के लिए, mail.php स्क्रिप्ट का उपयोग किया जाता है, जो कॉर्पोरेट मेल पर एक संदेश भेजता है;
/etc/init.d/joindomain - डोमेन में कंप्यूटर दर्ज करने के लिए स्क्रिप्ट।

स्क्रिप्ट का तर्क नीचे दिए गए चित्र में प्रस्तुत किया गया है।

भविष्य में सभी प्रॉक्सी सर्वर पर स्क्रिप्ट को सिंक्रनाइज़ नहीं करने के लिए, इसे PROXY_CONFIG मशीन पर नेटवर्क बॉल में छोड़ दें, इसे सभी प्रॉक्सी पर माउंट करें और स्क्रिप्ट को हर मिनट क्रोन में जोड़ें। इस प्रकार, यदि डोमेन के साथ संबंध खो गया है, तो डाउनटाइम एक मिनट तक कम हो जाएगा, अर्थात्, नाराज एकाउंटेंट को कॉल करने या समय देने का समय नहीं होगा, लेकिन वे लगभग तुरंत आनन्दित होंगे।
खैर, बस इतना ही। सब कुछ काम करता है, कोई समस्या नहीं है। मैं वर्णित कॉन्फ़िगरेशन के बारे में मेरे अक्सर पूछे जाने वाले प्रश्नों का तुरंत जवाब देना चाहूंगा।

प्रश्न 1

क्या वर्चुअल मशीनों से परेशान होने के बजाय किसी अच्छे हार्डवेयर प्लेटफ़ॉर्म पर एक वास्तविक प्रॉक्सी सर्वर को तैनात करना आसान नहीं है?

जवाब है

विस्तार - हाँ, प्रबंधन करने में आसान - नहीं। बेशक, अगर संगठन छोटा है और आप परदे के पीछे और नियंत्रक दोनों के लिए जिम्मेदार हैं, तो यह इस तरह के बगीचे को बाड़ने के लिए कोई मतलब नहीं है। शाखाओं, शाखाओं के एक वितरित नेटवर्क की उपस्थिति के मामले में, जब प्रशासकों के कर्तव्यों और जिम्मेदारियों को विभाजित किया जाता है, तो इस तरह की प्रणाली, "बुनियादी ढांचे की उम्मीद" सबसे अच्छा है जो दिमाग में आया है। यदि पहले, जब दो नई शाखाओं का एक तेज कनेक्शन, मुझे कॉन्फ़िगरेशन में जाना था और प्राधिकरण प्रवाह की संख्या में वृद्धि करना था, हार्डवेयर पर तैनात ओएस के भयानक ब्रेक के माध्यम से लुप्त होती है, तो अगर सीडी विफल हो जाती है, तो प्रॉक्सी से नेटवर्क केबल को डिस्कनेक्ट करें, क्योंकि सीडी के बिना सब कुछ स्थानीय रूप से लटका हुआ है, कुछ खर्च करें सैगिंग के लिए प्रतीक्षा करने के लिए दर्जनों मिनट, अब मैं पहले से ही भूल गया हूं कि सिस्टम यूनिट जिस पर यह सब तैनात है वह दिखता है, मुझे केवल याद है कि यह काला था।

प्रश्न २

डोमेन से कनेक्शन की स्थिति की जांच क्यों करें, क्या नियंत्रक का समस्या निवारण करना आसान नहीं है?

जवाब है

शक्तियों के पृथक्करण के संबंध में प्रश्न 1 का उत्तर देखें।

विंडोज डोमेन में स्क्वीड-आधारित फेलओवर प्रॉक्सी

कम प्रॉक्सी सर्वर लोड + स्केलेबिलिटी

डोमेन और गैर-डोमेन कॉन्फ़िगरेशन के बीच स्वचालित स्विचिंग

प्रश्न 1

जवाब है

प्रश्न २

जवाब है

More articles: