cntlm - Online w chmurze

PROGRAM:

IMIĘ

cntlm - uwierzytelnianie proxy HTTP(S) z tunelowaniem i akceleracją TCP/IP

STRESZCZENIE

cntlm [ -AaBcDdFfgHhILLMPprSsTUuvw ] [ host1 port1 | host1:port1 ] ... gospodarzN port N

OPIS

Cntlm to uwierzytelniający serwer proxy HTTP NTLM/NTLM SR/NTLMv2. Stoi między twoim
aplikacje i firmowy serwer proxy, dodając uwierzytelnianie NTLM w locie. Możesz
określ kilka "nadrzędnych" serwerów proxy, a Cntlm będzie próbował jeden po drugim, aż jeden zadziała. Wszystkie
uwierzytelnione połączenia są buforowane i ponownie wykorzystywane w celu osiągnięcia wysokiej wydajności. Po prostu wskaż swoje aplikacje
ustawienia proxy w Cntlm, wypełnij cntlm.conf (cntlm.ini) i gotowe. To jest
przydatne w systemie Windows, ale niezbędne w systemach innych niż Microsoft. Adresy IP serwera proxy mogą być
określone przez CLI (host1:port1 do hostN:portN) lub plik konfiguracyjny.

Inną opcją jest posiadanie cntlm uwierzytelniaj lokalne połączenia internetowe bez rodzica
pełnomocnicy. Może pracować samodzielnie, podobnie jak Squid czy ISA. Domyślnie wszystkie
żądania są przekazywane do nadrzędnych serwerów proxy, ale użytkownik może ustawić listę „NoProxy”, listę
Adres URL pasujący do wzorców symboli wieloznacznych, które prowadzą między trybami bezpośrednimi i do przodu. Cntlm mogą
rozpoznaj również, kiedy wszystkie Twoje firmowe serwery proxy są niedostępne i przełącz się na autonomiczne
automatycznie (i z powrotem). Oprócz WWW i PROXY poświadczenie, cntlm
zapewnia przydatną funkcję umożliwiającą użytkownikom migrację laptopów między pracą a domem
bez zmiany ustawień proxy w swoich aplikacjach (przy użyciu cntlm cały czas). Cntlm
integruje również przezroczyste przekierowanie portów TCP/IP (tunelowanie). Każdy tunel otwiera nowy
gniazdo nasłuchujące na lokalnej maszynie i przekazuje wszystkie połączenia do hosta docelowego
za nadrzędnym proxy. Zamiast tych tuneli podobnych do SSH, użytkownik może również wybrać ograniczony
Interfejs SOCKS5.

rdzeń cntlm funkcja była podobna do późnego NTLMAPS, ale dzisiaj cntlm ewoluował sposób
poza wszystkim, co może zaoferować jakakolwiek inna aplikacja tego typu. Poniższa lista funkcji
mówi samo za siebie. Cntlm ma wiele funkcji bezpieczeństwa/prywatności, takich jak NTLMv2 wsparcie i
ochrona hasłem - istnieje możliwość zastąpienia skrótów haseł (które można uzyskać)
za pomocą -H) w miejsce aktualnego hasła lub w celu interaktywnego wprowadzenia hasła (wł
uruchomienia lub poprzez „podstawową” translację uwierzytelnienia HTTP). Jeśli używane jest hasło w postaci zwykłego tekstu, jest to
automatycznie haszowany podczas uruchamiania i wszystkie jego ślady są usuwane z procesu
pamięć.

Oprócz minimalnego wykorzystania zasobów systemowych, cntlm osiąga wyższą przepustowość na
podany link. Buforując uwierzytelnione połączenia, działa jako akcelerator HTTP; Ten
sposób, 5-drożne uzgadnianie uwierzytelniania dla każdego połączenia jest w przejrzysty sposób eliminowane, pod warunkiem, że:
w większości przypadków natychmiastowy dostęp. Cntlm nigdy nie buforuje treści żądania/odpowiedzi w pamięci, w
w rzeczywistości nie jest generowany żaden ruch poza wymianą nagłówków auth, dopóki klient <->
połączenie z serwerem jest w pełni negocjowane. Dopiero wtedy następuje rzeczywisty transfer danych. Cntlm is
napisany w zoptymalizowanym C i łatwo osiąga piętnaście razy szybsze odpowiedzi niż inne.

Przykład cntlm w porównaniu do NTLMAPS: cntlm dał średnio 76 kB/s przy szczytowym wykorzystaniu procesora
0.3%, podczas gdy z NTLMAPS było to średnio 48 kB/s przy szczytowym CPU na poziomie 98% (Pentium M 1.8 GHz). ten
Ekstremalna różnica w zużyciu zasobów jest jedną z wielu ważnych korzyści związanych z korzystaniem z laptopa.
Szczytowe zużycie pamięci (kilka złożonych witryn, 50 równoległych połączeń/wątków; wartości
są w KiB):

VSZ RSS CMD
3204 1436 ./cntlm -f -c ./cntlm.conf -P pid
411604 6264 /usr/share/ntlmaps/main.py -c /etc/ntlmaps/server.cfg

Nieodłączną częścią rozwoju jest profilowanie i przesiewanie zarządzania pamięcią za pomocą
Valgrinda. Dystrybucja źródłowa zawiera plik o nazwie valgrind.txt, gdzie możesz zobaczyć
raport potwierdzający zero wycieków, brak dostępu do nieprzydzielonej pamięci, brak użycia
niezainicjowane dane - wszystkie powiązane z każdą instrukcją emulowaną w wirtualnym Valgrind
Procesor podczas typowego cyklu życia serwera proxy.

OPCJE

Większość opcji można wstępnie ustawić w pliku konfiguracyjnym. Podanie opcji więcej niż raz
nie jest błędem, ale cntlm ignoruje wszystkie zdarzenia z wyjątkiem ostatniego. To nie dotyczy
do opcji takich jak -L, z których każda tworzy nowe wystąpienie jakiejś funkcji. Cntlm może być
zbudowany z zakodowanym na sztywno plikiem konfiguracyjnym (np. /etc/cntlm.conf), który jest zawsze ładowany,
Jeśli to możliwe. Widzieć -c opcję zastępowania niektórych lub wszystkich jego ustawień.

Zastosowanie -h aby zobaczyć dostępne opcje wraz z krótkim opisem.

-A IP/maska (Pozwalać na)
Zezwól na regułę ACL. Razem z -D (Odmów) są to dwie reguły dozwolone w ACL
polityka. Częściej jest to mieć w pliku konfiguracyjnym, ale Cntlm następujący sposób
założenie, że możesz zrobić to samo w wierszu poleceń, co za pomocą
plik konfiguracyjny. Kiedy Cntlm otrzymuje żądanie połączenia, decyduje, czy zezwolić
lub zaprzeczyć. Wszystkie reguły ACL są przechowywane na liście w określonej kolejności.
Cntlm potem chodzi po liście i pierwszy IP/maska reguła pasująca do żądania
stosowany jest adres źródłowy. ten maska może być dowolną liczbą od 0 do 32, gdzie 32 to
domyślne (czyli dokładne dopasowanie IP). Ta notacja jest również znana jako CIDR. Jeśli chcesz
aby dopasować wszystko, użyj 0/0 lub gwiazdka. Listy ACL w wierszu poleceń przyjmują
pierwszeństwo przed tymi w pliku konfiguracyjnym. W takim przypadku zobaczysz informację o
że w logu (na liście niewykorzystanych opcji). Tam też możesz zobaczyć ostrzeżenia
o prawdopodobnie nieprawidłowej specyfikacji podsieci, wtedy IP część ma więcej bitów niż
deklarujesz przez maska (np. 10.20.30.40/24 powinno być 10.20.30.0/24).

-a NTLMv2 | NTLM2SR | NT | NTLM | LM (Uwierzytelnianie)
Typ uwierzytelnienia. NTLM(v2) składa się z jednej lub dwóch zaszyfrowanych odpowiedzi, NT i LM
lub NTLM2SR lub NTv2 i LMv2, które są obliczane na podstawie skrótu hasła. Każdy
odpowiedź używa innego algorytmu mieszającego; wraz z wynalezieniem nowych typów odpowiedzi,
zastosowano silniejsze algorytmy. Po pierwszej instalacji cntlm, znajdź najsilniejszy
który działa dla Ciebie (najlepiej używając -M). Powyżej są wymienione od najsilniejszych do
najsłabszy. Bardzo stare serwery lub dedykowane serwery proxy sprzętowe mogą nie być w stanie przetworzyć
cokolwiek poza LM. Jeśli żadna z tych opcji nie działa, zobacz opcję flag zgodności -F lub prześlij
wniosek o wsparcie.

WAŻNE: Chociaż NTLMv2 nie jest powszechnie stosowany (tj. wymuszany), jest obsługiwany
we wszystkich systemach Windows od NT 4.0 SP4. To za a początku. długie czas! Zdecydowanie sugeruję
używasz go do ochrony swoich danych uwierzytelniających on-line. Powinieneś również zastąpić zwykły tekst
Hasło opcje z haszem Przepustka[NTLMv2|NT|LM] odpowiedniki. NTLMv2 jest najbardziej i
prawdopodobnie jedyne bezpieczne uwierzytelnianie rodziny NTLM.

-B (NTLMTopodstawowy)
Ta opcja włącza „NTLM-to-basic”, co pozwala na użycie jednego cntlm dla wielu
użytkowników. Należy pamiętać, że w ten sposób traci się całe bezpieczeństwo NTLM. Uwierzytelnianie podstawowe używa tylko
prosty algorytm kodowania do "ukrycia" twoich danych uwierzytelniających i jest umiarkowanie łatwy do
powąchać je.

WAŻNE: protokół HTTP oczywiście ma możliwość wcześniejszego negocjowania autoryzacji
przepuszczając cię, ale TCP/IP nie (tj. otwarty port to otwarty port). Jeśli użyjesz
NTLM-to-basic i NIE określaj nazwy użytkownika/hasła w pliku konfiguracyjnym,
jesteś zobowiązany do luźnych funkcji tunelowania, ponieważ cntlm sam nie pozna twojego
kwalifikacje.

Ponieważ identyfikacja NTLM składa się z co najmniej trzech części (nazwa użytkownika, hasło, domena)
a uwierzytelnianie podstawowe zapewnia pola tylko dla dwóch (nazwa użytkownika, hasło), ty
muszę gdzieś przemycić część domeny. Możesz ustawić Domena wiersz config/cmd
parametr, który będzie następnie używany dla wszystkich użytkowników, którzy nie określą swojej domeny jako
część nazwy użytkownika. Aby to zrobić i zastąpić globalne ustawienie domeny, użyj tego
zamiast zwykłej nazwy użytkownika w oknie hasła: „domena\nazwa użytkownika”.

-c
Plik konfiguracyjny. Opcje wiersza poleceń, jeśli są używane, zastępują pojedyncze opcje lub
są dodawane na górze listy dla wielu opcji (tunele, nadrzędne proxy itp.)
z wyjątkiem list ACL, które są całkowicie nadpisane. Posługiwać się / dev / null do
wyłącz dowolny plik konfiguracyjny.

-D IP/maska (Zaprzeczyć)
Odrzuć regułę ACL. Zobacz opcję -A powyżej.

-d (Domena)
Domena lub grupa robocza konta proxy. Ta wartość może być również określona jako a
część nazwy użytkownika z -u.

-F (Flagi)
Flagi uwierzytelniania NTLM. Ta opcja jest delikatna dla oceniania i nie polecam
zmienić domyślne wartości wbudowane, chyba że nie udało się uzyskać uwierzytelniania nadrzędnego proxy
i wypróbowałem automatyczną detekcję magii (-M) i wszystkie możliwe wartości dla Auth opcja
(-a). Pamiętaj, że każda kombinacja skrótu NT/LM wymaga innych flag. Ten
opcja jest rodzajem kompletnego "ręcznego nadpisania" i będziesz musiał sobie z tym poradzić
siebie.

-f Uruchom w konsoli jako zadanie na pierwszym planie, nie rozwidlaj się w tle. W tym trybie wszyscy
Komunikaty syslog będą przesyłane echem do konsoli (na platformach obsługujących syslog
LOG_PERROR). Chociaż cntlm został zaprojektowany przede wszystkim jako klasyczny demon UNIX
z logowaniem syslogd, zapewnia szczegółowy tryb bez odłączania się od
terminal kontrolny; zobaczyć -v. W każdym razie wszystkie komunikaty o błędach i diagnostyczne są
zawsze wysyłane do rejestratora systemowego.

-G (Agent ISAScanner)
Dopasowanie User-Agent (wielkość liter nie jest rozróżniana) dla wtyczki trans-isa-scan (patrz -S dla
wyjaśnienie). Pozytywne dopasowanie identyfikuje żądania (aplikacje), dla których
wtyczka powinna być włączona bez uwzględniania rozmiaru pobieranego pliku (zobacz -S). ty
może używać symboli wieloznacznych powłoki, a mianowicie "*", "?" oraz "[]". Jeśli jest używany bez -S or
ISAScannerRozmiarThe maks_rozmiar_w_kb jest wewnętrznie ustawiony na nieskończoność, więc wtyczka
będzie aktywny TYLKO dla wybranych agentów użytkownika, niezależnie od rozmiaru pobierania.

-g (Wejście)
tryb bramy, cntlm nasłuchuje na wszystkich interfejsach sieciowych. Domyślne jest wiązanie tylko
pętla zwrotna. W ten sposób tylko lokalne procesy mogą łączyć się z cntlm. W trybie bramy
chociaż, cntlm nasłuchuje na wszystkich interfejsach i jest dostępny dla innych komputerów na
sieć. Należy pamiętać, że przy tej opcji kolejność wiersza poleceń ma znaczenie, gdy
określenie portów lokalnych (nasłuchiwania) serwera proxy lub tunelu. Ci, którzy znajdują się wcześniej, będą
bind tylko pętla zwrotna; następne będą publiczne.
WAŻNE: Wszystko powyższe dotyczy tylko portów lokalnych, dla których nie zrobiłeś
podaj dowolny adres źródłowy. Jeśli tak, cntlm próbuje związać podany port tylko na
określony interfejs (a raczej adres IP).

-H Użyj tej opcji, aby uzyskać skróty do konfiguracji bez hasła. W tym trybie cntlm
drukuje wyniki i wychodzi. Możesz po prostu skopiować i wkleić bezpośrednio do pliku konfiguracyjnego.
Powinieneś użyć tej opcji z wyraźnym -u i -d, ponieważ niektóre skróty obejmują
nazwę użytkownika i nazwę domeny w obliczeniach. Czy widzisz -a dla ochrony
zalecenia.

-h Wyświetl pomoc (dostępne opcje z krótkim opisem) i wyjdź.

-I Interaktywny monit o hasło. Wszelkie ustawienia hasła z wiersza poleceń lub konfiguracji
plik jest ignorowany i pojawia się monit o hasło. Użyj tej opcji tylko z powłoki.

-L [ :] : : (Tunel)
Definicja tunelu. Składnia jest taka sama jak w przypadku lokalnego przekazywania OpenSSH (-L),
z nowym opcjonalnym prefiksem, saddr - źródłowy adres IP do powiązania port do.
Cntlm będzie nasłuchiwać połączeń przychodzących na porcie lokalnym port, spedycja
każde nowe połączenie przez nadrzędny serwer proxy do rhost:raport (uwierzytelnianie na
w podróży). Z tej opcji można korzystać wielokrotnie dla nieograniczonej liczby tuneli,
z lub bez saddr opcja. Widzieć -g o szczegóły dotyczące lokalnego portu
wiążące, kiedy saddr nie jest używany.

Należy pamiętać, że wiele firmowych serwerów proxy nie zezwala na połączenia z innymi portami
niż 443 (https), ale jeśli korzystasz z usługi docelowej na tym porcie, powinieneś:
bezpieczna. Połączenie z HTTPS jest dozwolone „zawsze”, w przeciwnym razie nikt nie byłby w stanie
przeglądaj witryny https://. W każdym razie najpierw spróbuj, czy możesz nawiązać połączenie
przez tunel, zanim zaczniesz na nim polegać. Ta funkcja działa tak samo jak narzędzia
lubić korkociąg(1), ale zamiast komunikować się przez terminal, cntlm trzyma to
TCP / IP.

-l [ :] (Słuchać)
Port lokalny dla cntlm usługa proxy. Użyj numeru, który wybrałeś tutaj, a
nazwa hosta uruchomionej maszyny cntlm (prawdopodobnie localhost) jako ustawienia proxy w
Twoja przeglądarka i/lub środowisko. Obsługa większości aplikacji (w tym konsoli)
pojęcie proxy do łączenia się z innymi hostami. W POSIX ustaw następujące
zmienne do użycia np wget(1) bez problemu (podaj aktualny adres
cntlm):

$ eksportuj ftp_proxy=http://localhost: 3128
$ wyeksportuj http_proxy=$ftp_proxy
$ eksport https_proxy=$ftp_proxy

Możesz uruchomić usługę proxy na więcej niż jednym porcie, w takim przypadku po prostu
używaj tej opcji tyle razy, ile to konieczne. Ale w przeciwieństwie do definicji tunelu, cntlm
nie uruchamia się, jeśli nie może powiązać wszystkich portów usługi proxy. Port usługi proxy
można również wiązać selektywnie. Posługiwać się saddr aby wybrać źródłowy adres IP do powiązania
port do. Pozwala to na przykład na uruchomienie usługi na różnych portach dla
podsieci A i B i uczynić ją niewidoczną dla podsieci C. Zobacz -g po szczegóły
dotyczące wiązania portu lokalnego, gdy saddr nie jest używany.

-M
Uruchom wykrywanie magicznego dialektu NTLM. W tym trybie cntlm próbuje jakiejś znanej pracy
presety z twoim serwerem proxy. Prośby o sondę są składane dla określonego testulZ
najsilniejsze haszy idą w pierwszej kolejności. Po zakończeniu ustawienia dla najbezpieczniejszego
ustawienia są drukowane. Chociaż wykrywanie powie Ci, którego i jak używać Auth,
Flagi oraz opcje hashowania hasła, musisz skonfigurować przynajmniej swoje dane uwierzytelniające
i adres proxy. Możesz użyć -I aby interaktywnie wprowadzić swoje hasło.

-N [, (Bez proxy)
Unikaj nadrzędnego serwera proxy dla tych nazw hostów. Wszystkie pasujące adresy URL będą proxy
bezpośrednio by cntlm jako samodzielny serwer proxy. Cntlm obsługuje w tym uwierzytelnianie WWW
tryb, co pozwala na dostęp do lokalnych witryn intranetowych za pomocą korporacyjnego NTLM
uwierzytelnianie. Mamy nadzieję, że nie będziesz już potrzebować zwirtualizowanego MSIE. :)

-O [ :] (SOCKS5Proxy)
Włącz proxy SOCKS5 i spraw, aby nasłuchiwał na porcie lokalnym numer portu (specyfikacja źródłowego adresu IP to
również możliwe, jak w przypadku wszystkich opcji). Domyślnie nie będzie żadnych ograniczeń, ponieważ
kto może korzystać z tej usługi. Niektórzy klienci nie obsługują nawet uwierzytelniania SOCKS5
(np. prawie wszystkie przeglądarki). Jeśli chcesz wymusić uwierzytelnianie, użyj -R lub jego
równoważna opcja, SOCKS5Użytkownik. Podobnie jak w przypadku tunelowania portów, zależy to od nadrzędnego serwera proxy
czy pozwoli na połączenie z dowolnym żądanym hostem:port. Ta funkcja może być
używane z skarpetki(1) aby większość aplikacji TCP/IP przechodziła przez proxy zamiast
bezpośrednio (oczywiście będą działać tylko połączenia wychodzące). Aby aplikacje działały
bez serwera DNS ważne jest, aby nie rozwiązały się same, ale używając
SKARPETY. Np. Firefox ma tę opcję dostępną przez URI "about:config", nazwę klucza
network.proxy.socks_remote_dns, który musi być ustawiony na prawdziwy. Nieświadomy serwera proxy
skarpetkiaplikacje, będą musiały być skonfigurowane przy użyciu adresów IP, aby im zapobiec
z rozpoznawania DNS.

-P
Utwórz plik PID plik pid po uruchomieniu. Jeśli podany plik istnieje, to
obcięte i nadpisane. Ta opcja jest przeznaczona do użytku z zacząć zakończyć-
Demon(8) i inne mechanizmy serwisowe. Należy pamiętać, że plik PID jest tworzony
PO tym, jak proces zrzuci swoje uprawnienia i rozwidlenia. Kiedy demon skończy czysto,
plik jest usuwany.

-p (Hasło, Pass NT, ...)
Hasło do konta proxy. Cntlm usuwa hasło z pamięci, aby to zrobić
niewidoczne w / proc lub za pomocą narzędzi kontrolnych, takich jak ps(1), ale preferowany sposób
hasłem ustawień jest plik konfiguracyjny. W tym celu możesz użyć Hasło
opcja (dla zwykłego tekstu, format czytelny dla człowieka) lub „zaszyfruj” hasło za pomocą -H
A następnie użyć Pass NTLMv2, Przełęcz NT i / lub PrzełęczLM.

-R : (SOCKS5Użytkownik)
Jeśli serwer proxy SOCKS5 jest włączony, ta opcja może uczynić go dostępnym tylko dla tych, którzy:
zostały autoryzowane. Można go użyć kilka razy, aby stworzyć całą listę
konta (dozwolone kombinacje użytkownik:przepustka).

-S (ISAScannerRozmiar)
Włącza wtyczkę do przejrzystej obsługi przerażającego skanera ISA AV, który
zwraca interaktywną stronę HTTP (wyświetlającą postęp skanowania) zamiast
plik/dane, o które prosiłeś, za każdym razem, gdy masz ochotę zeskanować zawartość. Ten
zarozumiałe zachowanie psuje każdy automatyczny downloader, aktualizator i w zasadzie
KAŻDA aplikacja polegająca na pobieraniu (np. wget, apt-get).

Parametr maks_rozmiar_w_kb pozwala wybrać maksymalny rozmiar pobieranych plików
obsługi przez wtyczkę (zobacz poniżej, dlaczego możesz tego chcieć). Jeśli rozmiar pliku to
większy niż to, cntlm przekazuje Ci interaktywną stronę, skutecznie wyłączając
wtyczka do tego pobrania. Zero oznacza brak limitu. Posługiwać się -G/Agent ISAScanner do
zidentyfikować aplikacje, dla których maks_rozmiar_w_kb należy zignorować (wymuszając
podłącz). Działa poprzez dopasowanie nagłówka User-Agent i jest niezbędny np. wget,
apt-get i yum, które nie powiedzie się, jeśli odpowiedzią jest jakaś strona HTTP zamiast
żądane dane.

Jak to działa: klient prosi o plik, cntlm wykrywa bzdury odpowiedzi ISA i
czeka na tajny link do pamięci podręcznej ISA, który pojawia się nie wcześniej niż plik jest
pobrane i zeskanowane przez ISA. Tylko wtedy może cntlm złóż drugą prośbę o
prawdziwy plik i przesłać go wraz z poprawnymi nagłówkami do klienta. Klient
nie wygasa podczas oczekiwania na to, b/c cntlm okresowo wysyła dodatek
nagłówek „keepalive”, ale użytkownik może się denerwować, nie widząc paska postępu
ruszaj się. To oczywiście czysto psychologiczny ma znaczenie, nie ma różnicy, czy cntlm or
Twoja przeglądarka żąda zeskanowanego pliku - musisz poczekać, aż ISA wykona swoją pracę i
pobierz następnie. Spodziewasz się tylko, że zobaczysz jakiś ruch wskaźnika postępu, a to wszystko
co robi strona ISA: pokazuje odliczanie HTML.

Jeśli wtyczka z jakiegoś powodu nie może przeanalizować interaktywnej strony (nieznane
formatowanie itp.), kończy działanie, a strona jest przekazywana do Ciebie — nigdy nie jest „zgubiona”.

Nagłówek keepalive nazywa się ISA-Scanner i pokazuje postępy ISA, np.:

HTTP / 1.1 200 OK
Skaner ISA: 1000 z 10000
Skaner ISA: 2000 z 10000
...

-r " : " (Kolektor)
Podstawianie nagłówka. Każde żądanie klienta zostanie przetworzone i wszelkie nagłówki
zdefiniowany za pomocą -r lub w pliku konfiguracyjnym zostanie do niego dodany. W przypadku
nagłówek jest już obecny, jego wartość zostanie zastąpiona.

-s Serializuje wszystkie żądania, nie używając współbieżnych wątków dla proxy (nadal tunelowanie
działa równolegle). Ma to straszny wpływ na wydajność i jest dostępne tylko
do celów debugowania. W przypadku użycia z -v, daje ładny sekwencyjny dziennik debugowania,
gdzie prośby zmieniają się.

-T
Używany w połączeniu z -v aby zapisać dane wyjściowe debugowania w pliku śledzenia. Powinno
być umieszczony jako pierwszy parametr w wierszu poleceń. Aby zapobiec utracie danych, to
nigdy nie nadpisuje istniejącego pliku. Musisz wybrać unikalną nazwę lub ręcznie
usuń stary plik.

-U
Po uruchomieniu jako root, wykonuj rzeczy, które wymagają takich uprawnień (odczyt config, bind
porty itp.), a następnie natychmiast odrzuć uprawnienia i zmień na uid. Ten parametr
może być liczbą lub nazwą użytkownika systemu. Jeśli używasz liczby, zarówno uid, jak i gid of
proces zostanie ustawiony na tę wartość; jeśli podasz nazwę użytkownika, uid i gid będą
być ustawione zgodnie z uid i podstawowym gid tego użytkownika, jak zdefiniowano w / Etc / passwd. Ty
powinien korzystać z tego ostatniego, ewentualnie za pomocą dedykowanego cntlm rachunek. Jak z każdym
demon, jesteś strongly radzę uciekać cntlm w ramach konta nieuprzywilejowanego.

-u [@ ] (Nazwa użytkownika)
Konto proxy/nazwa użytkownika. Można również wprowadzić domenę.

-v Wydrukuj informacje debugowania. Automatycznie włącza (-f).

-w (Stacja robocza)
Nazwa NetBIOS stacji roboczej. Nie używaj tutaj pełnej kwalifikowanej nazwy domeny (FQDN). Właśnie
pierwsza część. Jeśli nie określono, cntlm próbuje uzyskać nazwę hosta systemu i jeśli
to się nie powiedzie, używa "cntlm" - to dlatego, że niektóre proxy wymagają, aby to pole było niepuste.

KONFIGURACJA

Plik konfiguracyjny jest w zasadzie plikiem INI, z wyjątkiem braku znaku „=” między klawiszami i
wartości. Składa się z oddzielonych białymi spacjami par słów kluczowych i wartości. Oprócz tego,
są też sekcje, mają zwykłą składnię „[nazwa_sekcji]”. Rozpoczyna się komentarz
z hashem "#" lub średnikiem ";" i może znajdować się w dowolnym miejscu pliku. Wszystko po
zaznacz, aż EOL będzie komentarzem. Wartości mogą zawierać dowolne znaki, w tym spacje.
You mogą użyj podwójnych cudzysłowów wokół wartości, aby ustawić ciąg zawierający znaki specjalne
jak spacje, krzyżyki itp. W ciągach cudzysłowów nie są dozwolone sekwencje specjalne.

Istnieją dwa rodzaje słów kluczowych, miejscowy i światowy. Opcje lokalne określają uwierzytelnianie
szczegóły na domenę (lub lokalizację). Słowa kluczowe globalne dotyczą wszystkich sekcji i serwerów proxy. Oni
należy umieścić przed wszystkimi sekcjami, ale nie jest to konieczne. Są to: Zezwól, Odrzuć,
Brama, Słuchaj, SOCKS5Proxy, SOCKS5User, NTLMToBasic, Tunel.

Wszystkie dostępne słowa kluczowe są wymienione tutaj, pełne opisy znajdują się w sekcji OPCJE:

Dopuszczać [/ ]
ACL zezwala na regułę, zobacz -A.

Auth NTLMv2 | NTLM2SR | NT | NTLM | LM
Wybierz dowolną możliwą kombinację skrótów NTLM za pomocą jednego parametru.

Odrzucam [/ ]
Reguła odmowy ACL, zobacz -A.

Domena
Nazwa domeny/grupy roboczej konta proxy.

Flagi
Flagi uwierzytelniania NTLM. Widzieć -F dla szczegółów.

Bramka tak|nie
Tryb bramy. W pliku konfiguracyjnym kolejność nie ma znaczenia. Obowiązuje tryb bramy
to samo do wszystkich tuneli.

Nagłówek <nazwa nagłówka: wartość>
Podstawianie nagłówka. Widzieć -r po szczegóły i pamiętaj, bez cytowania.

Agent ISAScanner
Dopasowywanie ciągów User-Agent z obsługą symboli wieloznacznych (*, ?, []) bez uwzględniania wielkości liter dla
trans-isa-wtyczka. Jeśli nie zdefiniujesz ISAScannerRozmiar, jest wewnętrznie ustawiony na
nieskończoność, czyli wyłączenie wtyczki dla wszystkich pobrań z wyjątkiem tych dopasowanych przez agenta
te. Widzieć -G.

ISAScannerRozmiar
Włącz wtyczkę trans-isa-scan. Widzieć -S więcej.

Słuchaj [ :]
Numer portu lokalnego dla cntlmusługa proxy. Widzieć -l więcej.

Hasło
Hasło do konta proxy. Jak w przypadku każdej innej opcji, wartość (hasło) może być
ujęty w cudzysłów (") w przypadku, gdy zawiera znaki specjalne, takie jak spacje,
znaki funta itp.

Przełęcz NTLMv2, Pass NT, PrzełęczLM
Skróty hasła do konta proxy (patrz -H i -a). Kiedy chcesz używać skrótów
w konfiguracji (zamiast hasła w postaci zwykłego tekstu), każdy Auth ustawienia wymagają
różne opcje:

Ustawienia | Wymaga
--------------+-----------------
Uwierzytelnij NTLMv2 | Pass NTLMv2
Uwierzytelnij NTLM2SR | Przełęcz NT
Uwierzytelnianie NT | Przełęcz NT
Uwierzytelnianie NTLM | PassNT + PassLM
Uwierzytelnianie LM | PassLM

pełnomocnik
Nadrzędny serwer proxy, który wymaga uwierzytelnienia. Tak samo jak proxy w wierszu poleceń,
można użyć więcej niż raz, aby określić dowolną liczbę serwerów proxy. Czy należy?
awaria proxy, cntlm automatycznie przechodzi do następnego. Żądanie połączenia nie powiodło się
tylko wtedy, gdy cała lista serwerów proxy jest skanowana i (dla każdego żądania) i okazuje się, że są
nieważny. Wiersz poleceń ma pierwszeństwo przed plikiem konfiguracyjnym.

Brak proxy , , ...
Unikaj nadrzędnego serwera proxy dla tych nazw hostów. Wszystkie pasujące adresy URL będą proxy
bezpośrednio by cntlm jako samodzielny serwer proxy. Cntlm obsługuje w tym uwierzytelnianie WWW
tryb, co pozwala na dostęp do lokalnych witryn intranetowych za pomocą korporacyjnego NTLM
uwierzytelnianie. Mamy nadzieję, że nie będziesz już potrzebować zwirtualizowanego MSIE. :) Widzieć -N
więcej.

SOCKS5Proxy [ :]
Włącz proxy SOCKS5. Widzieć -O więcej.

SOCKS5Użytkownik :
Utwórz nowe konto proxy SOCKS5. Widzieć -R więcej.

NTLMToBasic tak|nie
Włącz/wyłącz uwierzytelnianie NTLM-to-basic. Widzieć -B więcej.

Tunel [ :] : :
Definicja tunelu. Widzieć -L więcej.

Użytkownik
Nazwa konta proxy, bez możliwości dołączenia nazwy domeny (znak 'at' to
interpretowane dosłownie).

Workstation
Nazwa hosta Twojej stacji roboczej.

Korzystaj z cntlm online za pomocą usług onworks.net