Squid mit Authentifizierungsproblemen

[fauxxami]

Hallo zusammen!

Mein Squid (Version 2.7 aus wheezy) bereitet mir Probleme mit der Authentifizierung. Meine Benutzer können sich entweder mit einem vorhandenen Kerberos-Ticket (wenn sie an einem Linux-Terminal sitzen) oder sonst durch die Eingabe von Benutzername und Passwort ausweisen. Nun habe ich kürzlich festgestellt, dass ich bei einem Windows-Notebook nicht in der Lage war, Updates einzuspielen, obwohl die nötigen Proxy-Angaben in den Internetoptionen des IE eingetragen waren und dort die "Integrierte Windows-Authentifizierung" abgeschaltet war. Und nun sehe ich im Squid-Logfile Einträge, die ich mir nicht erklären kann, z.B. diese direkt aufeinander folgenden:

Code: Alles auswählen

1382958331.193      3 <rechnername> TCP_DENIED/407 1698 CONNECT navigator.web.de:443 - NONE/- text/html
1382958331.305    110 <rechnername> TCP_MISS/200 2073 CONNECT navigator.web.de:443 <username> DIRECT/217.72.194.207 -

Beide Zugriffe erfolgten vom selben Rechner aus, unterscheiden sich aber dadurch, dass im ersten Fall offenbar keine Authentifizierungsdaten übermittelt wurden, im zweiten Fall hingegen schon. Die Kollegin, die die Seite aufgerufen hat, benutzt einen Firefox mit eingetragenem Proxy und gibt korrekte Authentifizierungsdaten ein, das habe ich geprüft.

Weiterhin sehe ich, dass mein Squid-Logfile voll von derartigen TCP-DENIED-Meldungen ist, obwohl ein CONNECT auf Port 443 ausdrücklich erlaubt ist - sonst würde ja auch die obige zweite Zeile nicht erscheinen. Nun kann ich mir nicht erklären, warum ein Zugriff mal erlaubt und mal verboten ist, und das gilt übrigens nicht nur für SSL-Verbindungen. Hier noch einmal zwei direkt aufeinanderfolgende Zeilen:

Code: Alles auswählen

1382958332.091      3 <rechnername> TCP_DENIED/407 1707 POST http://ocsp.thawte.com/ - NONE/- text/html
1382958332.293    226 <rechnername> TCP_MISS/200 1936 POST http://ocsp.thawte.com/ <username> DIRECT/199.7.59.72 application/ocsp-response

Ich stehe da auf dem Schlauch, kann jemand helfen? Danke!

[fauxxami]

Ich habe gerade noch mal in die Logs geschaut und bin dabei auf diesen Hinweis gestoßen:

Code: Alles auswählen

WARNING: All negotiateauthenticator processes are busy.

In meiner squid.conf war für die beiden Authentifizierungsmechanismen jeweils 16 "children" eingetragen. Ich habe diese Werte mal auf 64 hochgesetzt und den Eindruck, dass die TCP_DENIED-Meldungen weniger werden. Kann es also sein, dass die Authentifizierung deshalb nicht geklappt hat, weil Squid quasi "besetzt" war? Und falls ja: welche Werte sind denn hier nötig? Je mehr, desto besser? Und was für Auswirkungen hätte das - vermutlich einen erheblich höheren Speicherbedarf?