squid + kerberos + ad = Error validating user via Negotiate

[dad495]

Привет!

Мучаюсь и мучаю гугл уже вторую неделю. На работе делаю прокси сервер, но нужен с авторизацией через AD.
Нашел 2 способа: samba и kerberos. Сперва решил выбрать второй способ, т.к. он более новый и вроде как меньше нагружает AD.

Установил керберос, squid, создал в AD юзера, сделал кейтаб. Проверял kinit`ом на получение билета через доменный логин\пароль и через кейтаб - в обоих случаях авторизация прошла нормально.

Для начала настроил squid на авторизацию по ip. Squid работает быстро и хорошо, в логах ошибок нет.
Но вот когда я включаю Negotiate-авторизацию, прописываю в браузере прокси(squid.domain.local), открываю любой сайт, выскакивает окно авторизации, ввожу логи пароль и меня снова выбрасывает на панель авторизации.

В логах появляется ошибка(включен дебаг):
2012/08/30 12:11:57| squid_kerb_auth: DEBUG: Got 'YR TlRMTVNTUAABAAAAB4IIogAAAAA
AAAAAAAAAAAAAAAAFASgKAAAADw==' from squid (length: 59).
2012/08/30 12:11:57| squid_kerb_auth: DEBUG: Decode 'TlRMTVNTUAABAAAAB4IIogAAAAA
AAAAAAAAAAAAAAAAFASgKAAAADw==' (decoded length: 40).
2012/08/30 12:11:57| squid_kerb_auth: WARNING: received type 1 NTLM token
2012/08/30 12:11:57| authenticateNegotiateHandleReply: Error validating user via
 Negotiate. Error returned 'BH received type 1 NTLM token'

Более опытные админы, подскажите, может кто сталкивался с проблемой. Я уже думаю отказаться от kerberos и
использовать winbind.

[vasilisc]

Может быть в вашем домене запрещён NTLM1 и используется более безопасный NTLM2, а сквид лезет к вам с чистым NTLM1.

Это просто моя версия.

Опишите ваш домен и операционные системы на контроллерах домена.