Не работает squid на 2 домена?

Question

[I_AM_SHEFF]

Коллеги, добрый день! Бьюсь долгое время с данной проблемой.
Имеем Squid 3.5.8, Active Directory (два DC).
Настроена интеграция через керберос с AD.
Все работает, всё здорово.
Но когда отключаешь DC1 - сквид начинает блокировать весь траффик. Если включить тутже DC1, то все работает как надо. (группы, блокировки, ACL все работает)
Пересоздавал krb5.keytab. При выключении DC1, squid получает билет от DC2, все отображается в klist. PTR записи имеются, всё резолвится.
Ниже конфиги, логи.

В момент блокировки в access.log в основном код 407.
А в cache.log следующее:

spoiler

kerberos_ldap_group: ERROR: ldap_sasl_interactive_bind_s error: Can't contact LDAP server
kerberos_ldap_group: ERROR: Error while binding to ldap server with SASL/GSSAPI: Can't contact LDAP server

squid.conf

spoiler

### negotiate kerberos
auth_param negotiate program /usr/lib64/squid/negotiate_kerberos_auth -s HTTP/[e-mail]
auth_param negotiate children 60
auth_param negotiate keep_alive off

external_acl_type inet_medium ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail]
external_acl_type inet_full ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail]
external_acl_type inet_low ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail]

acl localnet src 192.168.10.0/24

acl my_full external inet_full
acl my_medium external inet_medium
acl my_low external inet_low
acl auth proxy_auth REQUIRED

krb5.conf

spoiler

[realms]
DOMEN.LOCAL = {
kdc = dc1.domen.local
kdc = dc2.domen.local
admin_server = dc1.domen.local
default_domain = domen.local}

Answer 1

[CityCat4]

external_acl_type inet_medium ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail]

Вот тут у меня стоит еще -D DOMEN.LOCAL и -a (принимать все сертификаты без проверки на валидность)

Comments

[I_AM_SHEFF]

Сейчас вот так сделал:

spoiler

external_acl_type inet_medium ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail] -a -D DOMEN.LOCAL
external_acl_type inet_full ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail] -a -D DOMEN.LOCAL
external_acl_type inet_low ttl=300 negative_ttl=60 %LOGIN /usr/lib64/squid/ext_kerberos_ldap_group_acl -g [e-mail] -a -D DOMEN.LOCAL

Проблема осталась..
В логи cache.log, также пишет:

spoiler

kerberos_ldap_group: ERROR: ldap_sasl_interactive_bind_s error: Can't contact LDAP server
kerberos_ldap_group: ERROR: Error while binding to ldap server with SASL/GSSAPI: Can't contact LDAP server

[I_AM_SHEFF]

Выяснил, что ext_kerberos_ldap_group_acl использует SRV-записи, а не те КД, что прописаны в krb5.conf.
При включеном DC1, сделал запрос _ldap._tcp.dc._msdcs. domain.local - ответ пришёл (оба ip адреса обоих DC). При выключенном DC1, ответа нету.
---
update, вроде все ок:

spoiler

[boll@prx ~]# dig _kerberos._udp.domen.local SRV | grep ^_kerberos _kerberos._udp.domen.local. 600 IN SRV 0 100 88 DC2.domen.local. _kerberos._udp.domen.local. 600 IN SRV 0 100 88 DC1.aat.local

[I_AM_SHEFF]

Вот лог дебага при выключенном DC1:
https://pastebin.com/Yfh0iBgk