Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 10 replies
  • Subscribers 1 subscriber
  • Views 1774 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

IIS 6.0 Sites with Integrated Authentication Fails

dayne
Hi, I found an issue using HTTP Proxy with Virus and Spyware protection. I have hosted SharePoint sites that use IIS 6.0 with Integrated Authentication Enabled. These sites fail to be brought up when using HTTP Proxy. 

Usually a username/password Dialog box should appear, however I am getting 401.2 Errors in both IE and Firefox. I have disabled Block HTTP CONNECT. I have tried Standard, Transparent and Authentication modes. Anonimity is set to NONE. The site has been set in the domain and url whitelists. I am still getting the error. 

If I disable the proxy, I can get through (Recieve the login dialog). Can someone shed some light as to why this is happening. 

Thanks,

Dayne


This thread was automatically locked due to age.
Parents Reply Children
  • 0 in reply to dayne
    Which Version of ASL do you use?
  • 0 in reply to SveN_01
    Version 6.303[:D] 

    I reported to my Distributor. They could recreate the error and have forwarded on to Astaro. I hope to hear from them soon.

    Best regards,

    Dayne
  • 0 in reply to dayne
    If you have the HTTP Proxy set to Transparent mode:

    "NTLM authentication (sometimes called Windows Integrated Authentication) 
    cannot be proxied. To make it work, you will need to completely bypass the 
    proxy server when accessing the SharePoint server. " - excerpt from SQUID mailing list. 

    Interesting. Perhaps adding the a defined DNS Host, for the site in question, created in Definitions > Networks to the "Skip source/destination networks" of the Transparent HTTP Proxy will work? 

    BRILLIANT! It works! So if users are using HTTP Proxy in Transparent Mode they need to:

    1. Define the Share Point sites using NTLM authentication in Definitions > Networks > DNS Host

    2. Create a DNS Host Group containing all the sites listed above.

    3. Add the DNS Host Group to the HTTP Proxy > "Skip source/destination networks"

    4. Add a Packet Filter rule to allow all HTTP/S from internal network to the DNS Host Group created above.

    If using Authentication or Standard Mode, 

    1. Set your browser to not use the proxy for that particular dns host or hosts e.g "somesps.domain.com".

    2. Define the Share Point sites using NTLM authentication in Definitions > Networks > DNS Host

    3. Create a DNS Host Group containing all the sites listed above.

    4. Add a Packet Filter rule to allow all HTTP/S from internal network to the DNS Host Group created above.

    Thanks for all your help.

    Best regards,


    Dayne
  • 0 in reply to dayne
    I have been looking into a fix, and I think I have found one. Astaro uses SQUID 2.5 as the HTTP Proxy. SQUID now has a version 2.6 which is stable and has enhancements such as the following:


    • Authentication enhancements including Negotiate/Kerberos support, extra workarounds for NTLM clients and others using Microsoft Integrated Login
    • New authentication helpers: 

    • Digest LDAP helper
    • Native Windows basic, NTLM and negotiate helpers
    • External acl helpers for session monitoring and native Windows group membership check



    Anyone know if we may see SQUID 2.6 in the next few Updates for V6 or has this been moved to V7 Astaro?

    Best regards,

    Dayne
  • 0 in reply to dayne
    Hi,

    I have the same problem with my Astaro 6.303 production.
    And also with my 7.001 home-licensed.

    Mark
  • 0 in reply to MarkVerbeek
    Hi,

    I have the same problem with my Astaro 6.303 production.
    And also with my 7.001 home-licensed.

    Mark


    And you are going to continue to have the problem until Micro$oft fixes Internet Exploder. Funny thing, Firefox doesn't have this problem as far as I can tell.
  • 0 in reply to dayne


    Anyone know if we may see SQUID 2.6 in the next few Updates for V6 or has this been moved to V7 Astaro?

    Best regards,

    Dayne


    Squid is no longer a part of Version 7.100; Astaro now uses a custom-written HTTP Proxy.  I don't know if it supports proxying Integrated Authentication requests.  I don't really expect Astaro to update Squid 2.5 to 2.6 in Version 6, as it will be reaching end-of-life next year.  You may want to give version 7 a try; your V6 license will work on V7 just fine.

    Oh man, this thread is back from the dead!

    [:)]

    CTO, Convergent Information Security Solutions, LLC

    https://www.convergesecurity.com

    Advice given as posted on this forum does not construe a support relationship or other relationship with Convergent Information Security Solutions, LLC or its subsidiaries.  Use the advice given at your own risk.

  • 0 in reply to dayne

    If using Authentication or Standard Mode, 

    1. Set your browser to not use the proxy for that particular dns host or hosts e.g "somesps.domain.com".

    2. Define the Share Point sites using NTLM authentication in Definitions > Networks > DNS Host

    3. Create a DNS Host Group containing all the sites listed above.

    4. Add a Packet Filter rule to allow all HTTP/S from internal network to the DNS Host Group created above.

    Dayne


    While this does work, I would rather "work my magic" at the server to allow access to an integrated authentication site rather than getting my users used to bypassing the firewall proxy.  The transparent mode skip-list worked great, but I just switched to AD Authentication; is there an equivalent?