25、基于开源方案实现与Active Directory无缝集成的Web代理服务
基于开源方案实现与Active Directory无缝集成的Web代理服务
1. 背景介绍
Abmas Snack Foods 拥有数千名分布在总部、多个地区办公室、工厂和仓库的用户。该企业大部分工作依赖在线完成，因此大部分用户的互联网访问至关重要。所有互联网访问，包括地区办公室的访问，都通过总部进行，这由网络团队负责。由于带宽需求巨大，团队采用了代理和缓存技术，并成为早期使用 Microsoft ISA 的商业用户之一。然而，团队对 ISA 并不满意，因为它未达到市场宣传的效果，性能不佳且可靠性存在问题。但他们喜欢 ISA 与 Active Directory 的集成，即用户登录后可自动通过代理进行身份验证。若替代方案能在 Active Directory 域中无缝运行，将被采纳。
2. 需求分析
此业务案例的关键需求明确，无需创建新功能，只需复制现有系统，保留所有现有功能并提升性能。主要要点如下：
- 为大多数员工提供互联网访问。
- 采用分布式系统以适应负载和用户的地理分布。
- 与现有 Active Directory 域实现无缝透明的互操作性。
3. 技术原理
用户使用 Internet Explorer 向 Squid 代理请求浏览会话，并提供 AD 身份验证令牌。Squid 将身份验证请求传递给 Samba - 3 的身份验证辅助应用程序 ntlm_auth，该辅助程序与 winbind（Samba - 3 的 NTLM 身份验证守护进程）挂钩。Winbind 使 UNIX 服务能够针对 Microsoft Windows 域（包括 Active Directory 域）进行身份验证。由于