SquidGuard: Bloqueando o acesso a Web

O q eu sei, o squidguard esta descontinuado e bastante tempo....

Abs,

Não, não. Ele tinha sido descontinuado, em 2006, pelo seu desenvolvedor original. Então, equipe de segurança Shalla pediu que o fonte e as marcas, talz, fossem cedidos a eles, que iriam dar continuidade ao projeto. De fato, é o que foi feito. Eles tem feito um ótimo trabalho, principalmente na manutenção da blacklist que eles mantêm, que é a oficial do squidGuard, a Shalla BlackList. Se bem que o squidGuard é um programa, digamos, perfeito ao que se destina. Ele praticamente alcançou o topo de seu desenvolvimento, extremamente rápido, seguro, portável e fácil. É muito interessante ver como que ele percorre listas de mais de 2.10^6 de sites em fração de segundos, para ver se deve ou não bloquear algum site requisitado.
Fonte: http://www.squidguard.org/history.html
Flwsss

Mas e se você quiser fazer um bloqueio baseado em nível de acesso, ou grupos? Conheço pouco do squidGuard e pelo que entendi você só tem possibilidade de fazer um bloqueio geral, é isso?

maran,

Kara embora não concorde muito com a questão levantada no assunto por vários ideais, A ferramenta apresentada é sempre muito bem vinda quando utilizada de maneira "útil" por profissionais éticos em TI, como essa seria uma grande polêmica resolvi não deixar aqui em seu artigo os meus motivos, para que o leitor possa assim apreciar mais um belo trabalho seu e sem polêmicas.

Grande artigo, parece que para você o conhecimento nunca é o bastante!

[]'s

Oi Maran.

Primeiramente: FAVORITOS

Gostei muito.

mas me responda uma coisa: lendo o teu artigo me pareceu que o SquidGuard não faz nada que o próprio squid não possa fazer sozinho com acl. Veja, não estou desmerecendo o SquidGuard, pois se ele faz isto de uma maneira mais fácil de gerenciar, OTIMO.

Mas em squid eu tenho, por exemplo, regras em RegEX. Assim eu bloqueio qualquer url que tenha a palavra hostsex, por exemplo. Desta forma com uma única regra pego boa parte dos sites de pornografia.

Ainda, tenho uma regex que EVITA entrar em um site pelo seu IP. Se na URL for http://numeroIP, não vai. Claro, tenho uma outra que se aplica antes destas com as excessões. O motivo é que 90% praticamente dos sites de proxies (que permitiriam BURLAR o sistema) não tem domínio registrado.

O SquidGuard tem estes poderes?

Olá, pessoal. Preciso de uma ajuda de vocês. É o seguinte. Tenho
implementada aki, na rede que eu gerencio, o squid jah faz tempo. Ai,
resolvi implementar também o squidGuard. O squidGuard ta funcionando
perfeitamente, bloqueando tudo que deve, apresentando minha página de
erros personalizada, talz. Porém, o squid tem uma ACL que eu fiz
chamada ips_liberados, que contem os ips dos computadores da
administração que devem ter acesso completo à internet. É uma das
primeiras ACLs, para não sofrer bloqueio. Ela estava funcionando
normalmente, mas, quando implementei o squidGuard, ele não respeita
essas ACLs. O redirect_program do squidGuard está abaixo de todas as
ACLs, com excessão da que libera o acesso total à rede (a ultima acl),
porém, mesmo essa acl ips_liberados estando em cima dele, ela não
funciona para o squidGuard. Por exemplo, da pra ver uma pequena
diferença entre a pagina gerada pelo squid e a pelo squidGuard. Qdo um
IP não está no ips_liberados, e eu tento acessar, por exemplo, www.orkut.com
(que está bloqueado pelo squid e pelo squidGuard), ele mostra a página
de erros DO SQUID. Ai, eu coloco esse IP na ips_liberados e
reconfigure no squid. Ai, qdo tento acessar, ele mostra a página de
erros gerada pelo squidGuard. Tipow, o squid liberou o acesso ao site
para aquele IP, mas o squidGuard não. Como posso fazer para que o
squidGuard respeite as ACLs que vem antes dele no squid.conf? Por
enquanto, desabilitei o squidGuard, pq prefiro que acessem sites q nao
tao bloqueados pelo squid, do que que o diretor nao consiga acessar o
orkut dele =S

Ai vai meu squidGuard. T+

##########

hierarchy_stoplist cgi-bin ?
http_port 3128 transparent
#http_port 80 transparent
cache_mem 64 MB
cache_swap_low 90
cache_swap_high 95
maximum_object_size 4096 KB
cache_dir ufs /var/log/squid/cache 512 16 256
cache_access_log /var/log/squid/logs/access.log
error_directory /usr/share/squid/errors/Portuguese
ftp_user Squid@

######### Começando as minhas configurações ###############

# Acesso total para ips no arquivo /etc/squid/files/ips_liberados
acl ips_liberados src "/etc/squid/files/ips_liberados"
http_access allow ips_liberados

# IPs Sem Internet
acl ips_negados src "/etc/squid/files/ips_negados"
http_access deny ips_negados

# Sites q contem expressoes bloqueadas mas q devem ser liberados
acl sites_liberados dstdom_regex "/etc/squid/files/sites_liberados"
http_access allow sites_liberados

# Bloqueio por palavras no site
acl palavras_negadas dstdom_regex "/etc/squid/files/palavras_negadas"
http_access deny palavras_negadas

# Bloqueio por palavras na URL
acl sites_negados url_regex -i "/etc/squid/files/sites_negados"
http_access deny sites_negados

# Bloqueio de downloads por extensões
acl ext_negadas url_regex -i "/etc/squid/files/extensoes_negadas"
http_access deny ext_negadas

# Bloqueio do msn orkut e proxy
acl msn_proxys_negados dstdom_regex "/etc/squid/files/
msn_proxys_negados"
http_access deny msn_proxys_negados

acl MSN url_regex -i /gateway/gateway.dll
http_access deny MSN

acl MSN2 req_mime_type -i application/x-msn-messenger
http_access deny MSN2

######### Terminando as minhas configurações ##############

# squidGuard
redirect_program /usr/bin/squidGuard
redirector_bypass on

##

# ACLS
#acl all src 0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 4156 # AVG Antivirus
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
icp_access allow all

# Controle de uso de banda para a rede local
# delay_pools 1
# delay_class 1 2
# delay_parameters 1 114688/114688 16384/16384 #com a conexao de 1024
kbps
# delay_access 1 allow redelocal

# AVG
acl avg url_regex free.grisoft.com
acl avg2 url_regex http://guru.grisoft.com/softw/70free/update
http_access allow avg
http_access allow avg2

# Libera para a rede local
acl redelocal src 192.168.0.0/24
http_access allow localhost
http_access allow redelocal

# Bloqueia acessos externos
http_access allow all

@elgio
Grand elgio, é uma honra ter um artigo meu em seus favoritos ;)

Bom vamos lá, sim o squid faz tudo isso mas veja.
Como você disse tem que por varias regras acls, misturadas com regex e tudo mas.
isso deixa querendo ou não um arquivo muito grande, sim é flexivel sim é.

Mas o squidGuard, ele não é um filtro de conteúdo em si, ele faz o bloqueio por uma blacklist, ou seja, nada que contenha um filtro muito configurável, mas simplesmente faz o que se propões a fazer.

Claro, isso não garante todo o bloqueio, ele apenas ajuda em partes.

Ai veja por este ponto.
Eu tenho um ótimo bloqueio por blacklist, ai se eu quero filtrar mesmo o conteúdo.
Existe o DansGuardian, este sim faz o que você me disse.
Mais ou menos assim, vo la na configurtação do DansGuardian, e digo que todo site que conter a frase:

Site proibido para menores de 18 anos, deseja continuar?

Seja bloqueado.
Bom 50% foi pro saco, além de que tem o equema de pontuação.
Vai de 0 a 100

Eu posso fazer uma pontuação por palavras, expressões,etc
Como funciona, eu vo la e digo que a palavra
<sexo> 70
<pelada> 30
<anal> 90

E assim por diante, se o site em questão atingir 100 pontos já é bloqueado ;)

è bem interessante.

Além de que existem varias ferramentas de terceiros para o squid como Redirecionadores de urls.
Eu uso ferramentas de terceiros junto ao meu squid, simplesmente pelo fato dele ficar organizado, deixando em meu squid.conf, apenas o que realemnte precisa, alem de que se eu uso uma ferramenta de terceiro para um determinado fim, você concorda que ela sera bem mais flexivel, do que se eu colocasse inumeras regras de acl, pois o mesmo foi feito apenas para aquele fim ;)

Bom mas é isso ae elgio, este poder o squidGuard não tem, se quer algo similar veja o DansGuardian ;)

Grande abraço !!

@fulllinux, cara esta é uma questão que gera polemicas, mas aqui não quis passar isto e sim esta ferramenta em si, que se usada com bom senso, podemos ter um ambiente de trabalho feliz, e tambem bem profissional ;)

Ahhhh o conhecimento, este nunca pode ser esquecido, muito menos pouco usado rsrsrs ;)

Valeu meu velho, grande abraço

@Muka, fala meu velho, você diria algo como em samba, a nivel de usuários e grupos de usuários?

Um exemplo, eu quero que o squidGuard, bloquei em um geral, mas o grupo linux tenha acesso liberado?

Abraços

Parabéns, excelente artigo. Gostaria que alguém publicasse como configurar esse tipo de restrição aos servidores smoothwall.

Isso mesmo! Mais já entendi...

basta no "pass !pornografia !games internet", não colocar uma ! que indica "negação" ao grupo, no caso o internet está livre

Isso mesmo Muka, pois tinhamos a regra internet, so que ela se assimilava a um todo.
Poderiamos ter outra regra , ou grupos de regras, que seriam os grupos de uruários em si.

;)

Como fazer um usuário participar de 2 grupos?

@Muka, bom meu velho, este lance de usuários não é o forte o squidGuard, ele foca mais em bloqueios por ip, ou faixas de redes.
Veja:

Vamos la:
Primeiramente eu vou fazer um bloqueio dos ip teram acesso no caso será, os ips dos administradores:

Primeiramente la no diretório db que criamos lembra???
Crie o mkdir /usr/local/squidGuard/db/admins
Agora irei criar os arquivos:
# touch /usr/local/squidGuard/db/admins/admin

Vamos configurar

crie uma acl no squidGuard.conf

dest admins {


iplist ips/admin


}


ai lembrando que o squidGuard ira olhar o arquivo admin que criamos, então ele deve conter algo como:

ip 192.168.1.120

ip 192.168.1/24

ai vai do seu gosto.

Feito isso iremos lá na acl default para definir a liberação:

acl {
default {
pass admins ![*****] !gambling internet

Pronto acesso bloqeuado por ip

Abraços

Outra coisa que poderia ser feita é criar um lista branca, ou white list:
Que servirá pra que???
Diremos quais sites poderam ter passagem livre: vamos lá:
No squidGuard.conf defina a regra:

dest white {
domainlist white/domains
urllist white/urls
}

e no final do arquivo na acl default defina sua passagem livre:

acl {
default {
pass white admins ![*****] !gambling internet


Agora para que funcione precisaremos criar os diretórios feche seu squidGuard.conf

# mkdir /usr/local/squidGuard/db/white
# touch /usr/local/squidGuard/db/white/domains
# touch /usr/local/squidGuard/db/white/urls

Agora é por sua conta, vc usa o arquivo domains para domínios que devem ser permitidos por completo e usa o arquivo urls para incluir páginas ou seções isoladas.

Abraços

Grande Maran,

Excelente artigo, não conhecia essa ferramenta. Através de seu artigo pode pensar em várias coisas que posso aplicar em meu dia-a-dia. Parabéns, muito didático e explicado, consegui entender tudo. Assim que aplicar em minha rede, postarei os resultados obtivos.
Maran=favoritos.
Um grande abraço,
Valeu :-)
TSANCHES

Grande TSANCHES, cara Linux é f$#da, muita coisa a se explorar, esta é uma ótima ferramenta, mas limitada, ou seja se propões e muito bem ao que faz, nada menos , nada mais.
Uma que é melhor ainda que esta é o DansGuardian, fiz uns testes aqui, e estou com um rascunho aqui. ;)

Teste sim, e poste pra gente os resultados, valeu meu velho.
Uma grande abraço

:)

Esse aí já tem uma camisa garantida, huaha

Excelente artigo,

[]'s

César.

Que isso ;), muito obrigado César,
Grande Abraço

Muito bom maran, desconhecia o SquidGuard e seu artigo foi bem didático.

Espero em breve testar e ve-lo funcionar, acredito que com seu artigo vai ser bem tranquilo fazer isso, só faço a observação que, ao menos em minha opnião, seria melhor fazer um link ao invés de copiar os arquivos para o bd, assim durante as atualizações do SquidGuard, essas listas/regras (não entendi se usa expressão regular, lista, filtro por palavra...) poderiam ser atualizadas também.

Parabéns pelo artigo.

[]s

Fala engos, primeiramente muito obrigado.
Bom verdade não tinha pensado por este lado do link, pode ser uma alternativa.

O squidGuard, usa dominios, expressões, não possui um filtro de conteúdo, que você escolhe as palavras que quer e etc, isso é com oDansGuardian ;)

Vou testar este lance do link depois lhe retorno se funfa também ;)

teste sim e poste o resultado para nós, grande abraço

Olá, primeiramente parabéns pelo artigo.
Uma dica. Antes de iniciar o squidGuard é possível otimizar as listas convertendo os arquivos de texto em arquivos do banco de dados.
# squidGuard -C all

Não esqueça de dar a devida permissão para a pasta
# chown -R <usuario_squid> /usr/local/squidGuard/db/*

$usuario_squid: É possível saber olhando o squid.conf, por default é "nobody"

Olá galera tudo bem? consegui configurar perfeitamente o squid com intervalos e tudo, mas o squidguard não, este eu consigo bloquear tudo mas nao consigo manter os horarios de almoço, as ajudas que busquei na internet não funcionaram se puderem me ajudar, obrigado. Mandando ai os os .conf do squid e squidguard.

squid

http_port 10.1.1.63:3128 transparent
visible_hostname sti
hierarchy_stoplist cgi-bin ?
hierarchy_stoplist cgi-bin \?

cache_mem 450 MB
maximum_object_size_in_memory 256 KB
maximum_object_size 512 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid/ 62048 16 256
cache_acess_log /var/log/squid/acess.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports


http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge

acl almoco time 12:00-16:00
acl intervalo url_regex -i "/etc/squid/intervalo"
http_access allow intervalo almoco
http_access deny intervalo

redirect_program /usr/bin/squidGuard

acl permitidos url_regex -i "/etc/squid/permitidos"
http_access allow permitidos

acl bloqueados url_regex -i "/etc/squid/bloqueados"
http_access deny bloqueados

acl palavrasproibidas dstdom_regex "/etc/squid/palavrasproibidas"
http_access deny palavrasproibidas

acl palavrasproibidas1 dstdom_regex "/etc/squid/palavrasproibidas1"
http_access deny palavrasproibidas1

acl site dstdomain https://www2.bancobrasil.com.br/aapf/login.jsp?aap...
always_direct allow site


acl redelocal src 10.1.1.63/24
delay_pools 1
delay_class 1 2
delay_parameters 1 65563/65563 16550/16550
delay_access 1 allow redelocal
http_access allow localhost
http_access allow redelocal
http_access deny all

http_access allow localhost
http_access allow redelocal
http_access deny all

squidguard

#
# CONFIG FILE FOR SQUIDGUARD
#

dbhome /var/lib/squidguard/db
logdir /var/log/squid

#
# TIME RULES:
# abbrev for weekdays:
# s = sun, m = mon, t =tue, w = wed, h = thu, f = fri, a = sat

time workhours {
weekly mtwhf 12:00 - 16:00
}


acl {

default {
pass !in-addr all
redirect http://narutoproject.com.br
}
}

dest ads {
domainlist blacklists/ads/domains
urllist blacklists/ads/urls
}
dest aggressive {
domainlist blacklists/aggressive/domains
urllist blacklists/aggressive/urls
}
dest audio-video {
domainlist blacklists/audio-video/domains
urllist blacklists/audio-video/urls
}
dest drugs {
domainlist blacklists/drugs/domains
urllist blacklists/drugs/urls
}
dest gambling {
domainlist blacklists/gambling/domains
urllist blacklists/gambling/urls
}
dest [*****] {
domainlist blacklists/[*****]/domains
urllist blacklists/[*****]/urls
}
dest proxy {
domainlist blacklists/proxy/domains
urllist blacklists/proxy/urls
}
dest redirector {
domainlist blacklists/redirector/domains
urllist blacklists/redirector/urls
}
dest spyware {
domainlist blacklists/spyware/domains
urllist blacklists/spyware/urls
}
dest violence {
domainlist blacklists/violence/domains
urllist blacklists/violence/urls
}
dest warez{
domainlist blacklists/warez/domains
urllist blacklists/warez/urls
}
dest porn2{
domainlist BL/[*****]/domains
urllist BL/[*****]/urls
}
dest socialnet{
domainlist BL/socialnet/domains
urllist BL/socialnet/urls
}
dest tracker{
domainlist BL/tracker/domains
urllist BL/tracker/urls
}

acl {

default within workhours {
pass ![*****] !porn2
}else{
pass
redirect http://narutoproject.com.br
}
}

Boa noite.
Fiz o procedimento e logo no início onde seria criado o pacote de instalação e instalado o db, cmo o comendo:
----------------------------------------------
# ../dist/configure
# make
# make install
----------------------------------------------

, é apresentado o problema abaixo, não sendo criado o make
----------------------------------------------
checking for ar... missing_ar
configure: error: No ar utility found.
----------------------------------------------

Alguem saberia me informar do que se trata?

Você tem os compiladores necessários para que o processo possa ser efetuado com sucesso?
Abraços

Bom, ainda naum entendi o funcionamento do SquidGuard.
Ele trabalha sendo acionado pelo Squid ou fica "escutando" em alguma porta?
Tenho uma rede com 68 micros configurados e uns "Lex Luthors" que ficam tentando acessar conteúdo proibido. Estou interessado em implementar o SquidGuard, mas vou ter que alterar a configuração dos micros clientes???

Obrigado por enquanto...

Problemas com SQUIDGUARD:

Ando com problemas no squidguard em meu ambiente. Possuo o SQUID autenticando normalmente em AD com controle de acessos por grupos (do AD). Sao 3 grupos:

- AcessoTotal: Sem restricao alguma!!!!
- AcessoPadrao: Só não acessa o que estiver cadastrado em ACLs do tipo urls_bloqueadas
- AcessoRestrito: Só acessa o que eu liberar.

O motivo maior para implementacao do SquidGuard é devido ao Grupo AcessoPadrao. Queria que a blacklist pegasse esses caras.

AGORA O PROBLEMA: Quando eu aplico o SquidGuard... TODOS OS USUARIOS, INCLUSIVE DO GRUPO ACESSOTOTAL caem na blacklist.
o que devo fazer? Em portuga pouco achei sobre a situação (o que achei foi sem solução). Em ingles segui alguns passos de autenticacao no proprio SquidGuard que não deram certo.

Abaixo meu ambiente de Teste:

Active Directory (Win 2003 server):
- nome completo do dominio: testandosg.com.br
- unidade organizacional (ou): Internet
- Grupos dentro da OU: AcessoTotal, AcessoRestrito e AcessoPadrao
- Usuario com escrita no grupos: sproxy
- Senha do usuario acima: senhateste

Creio que possam me ajudar aqui, ou então o que vai me restar é ficar gerando relatorios diarios do Squid para ver o que os engraçadinhos andam acessando para adicionar nos "bloqueados" da vida. Isso seria ruim, afinal iria tratar o problema depois que o mesmo ocorresse.

Aguardo ajuda. Obrigado

OBS.: caso precisem de ajuda para autenticar squid no AD, informo que aqui no VOL tem documentaçao muito boa, apenas melhorei e adaptei algumas já existentes de acordo com minhas necessidades. Qualquer duvida sobre autenticar Squid em AD, ESTAREI HIPER DISPOSTO A AJUDAR... lembrando que é sempre bom ler como funcionam as ACLs do Squid... foi após entender o seu funcionamento que eu tive o conhecimento suficiente para fazer meu proprio conf.

PROBLEMA ACIMA SOLUCIONADO!!!!!

Nenhuma autenticação é necessária. QUEM AUTENTICA É O SQUID, TODOS FALAM ISSO e demorou para cair a ficha! Basta apenas criar uma ACL (do squidguard) no squidGuard.conf liberando um usuario e pronto. Se este usuario estiver ok no Squid, essa ACL do SquidGuard já vai entender o mesmo e pronto. Resumindo: se eu tiver dois usuarios com acesso total a internet, basta liberar os mesmos no Squid e em Seguida no SquidGuard (squidGuard.conf):

src nome_regra {
user usuario1 usuario2
}


acl {
department1 {
pass all
redirect http://localhost/cgi/blocked?clientaddr=%a&clientuser=%i&clientgroup=%s&url=%u
}
default {
.... aqui vao ficar as regras dos demais usuarios
}
}

Lembrando que pode ser usadas listas, mas não vejo necessidade, afinal eu creio que serão POUQUÍSSIMOS (aqui apenas eu, por enquanto) os usuários com acesso total a Internet.

Espero ter ajudado e obrigado a todos que buscaram me ajudar.

Abraços,
Igor Matos

Boa tarde a todos
Este topico me parece meio antigo e não sei se alguem vai me responder mas vamos la.
Fiz todo o procedimento no squidGuard e coloquei as linhas no squid.conf indicando para utilizar o squidGuard. Porem quando inicio o squidGuard, automaticamente o meu squid é derrubado e nao inicia mais!
Alguma sugestao?
Obrigado

Boa noite,

Segui todos os passo, só que o squidGuard não está bloqueando, tentei de tudo, e nada acontece....
Ele está rodando normal sem erro simplesmente não bloqueia


Abraço...