Passar sites fora do Proxy Squid [RESOLVIDO]

ezgonzaga
(usa Debian)

Enviado em 03/08/2011 - 09:13h

Bom dia,
Estou testando o Squid para colocar em produção na minha empresa. O mikrotik fará o controle de banda e firewall, apenas desviando a navegação para o squid.
Já configurei a autenticação e os sites liberados para alguns usuários. Está tudo funcionando perfeitamente quando eu logo no proxy.

Meu problema é o seguinte, eu criei uma lista com sites que não devem passar pelo squid, devem ser liberados antes mesmo da autenticação. Mas não esta funcionando, pesquisei bastante e aparentemente minha regra está correta:

acl url_ign url_regex -i "/etc/squid/listas/url_ign"
always_direct allow url_ign

Mas ele continua dando acesso negado, pedindo autenticação e não abre o site da lista.
Não quero fazer esta regra no mikrotik, pois ele entende apenas IPs e se o site mudar eu terei que ficar configurando novamente.

Vocês poderiam ver onde estou errando, por favor?!

Segue squid.conf completo e o conteúdo do url_ign por enquanto é apenas:
www.google.com.br

Mas já testei com vários outros sites, lista maior. Agora estou testando apenas com o google.

###########################################
http_port 3128
visible_hostname debian
error_directory /usr/share/squid/errors/Portuguese/

cache_mem 350 MB
maximum_object_size_in_memory 10 MB
maximum_object_size 512 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir aufs /var/spool/squid 20480 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 70 80 210 280 443 563 488 591 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

#Lista de sites ignorados pelo proxy
acl url_ign url_regex -i "/etc/squid/listas/url_ign"
always_direct allow url_ign

#Bloqueia acesso de fora da rede local antes de tudo
acl redelocal src 10.0.0.0/24
http_access deny !redelocal

#Sites liberados, caso bloqueie tudo
acl url_lib url_regex -i "/etc/squid/listas/url_lib"

#Autentica o usuario:
auth_param basic realm Digite sua senha para acesso a internet.
auth_param basic program /usr/bin/ncsa_auth /etc/squid/squid_passwd
acl autenticados proxy_auth REQUIRED
acl usr_lib_total proxy_auth "/etc/squid/listas/usr_lib_total"
http_access allow usr_lib_total
http_access allow autenticados url_lib
http_access deny all

#libera acesso da rede local para os autenticados e bloqueia o resto
http_access allow localhost
http_access allow redelocal
http_access deny all

marciovalentin
(usa CentOS)

Enviado em 03/08/2011 - 11:00h

Bom dia ezgonzaga!

Esta resposta vai servir.

http://www.vivaolinux.com.br/dica/Nota-Fiscal-Eletronica-com-Squid-Autenticacao

Abraços.

ezgonzaga
(usa Debian)

Enviado em 03/08/2011 - 11:28h

marciovalentin, obrigado pela resposta. Mas não está resolvendo.

Alterei as linhas conforme o link que você mandou, colocando na mesma ordem que ja estavam as outras:

acl url_ign dstdomain "/etc/squid/listas/url_ign"
http_access allow url_ign

Mas ele continua pedindo autenticação e não abre o site do google que está na lista.

Deve ter alguma coisa errada com o meu squid.conf acima, pois ele vai direto para a autenticação, sem passar pela acl de sites ignorados.

Grato,
Ezequiel

natanaelhenrique
(usa Arch Linux)

Enviado em 05/08/2011 - 10:31h

As linhas estão corretas e são essas mesmo

acl url_ign url_regex -i "/etc/squid/listas/url_ign"
always_direct allow url_ign

Porém creio que você tenha que colocá-las antes de todas as http_access, ou seja, logo abaixo das linhas a seguir, ficando do seguinte modo:

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 70 80 210 280 443 563 488 591 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT

acl url_ign url_regex -i "/etc/squid/listas/url_ign"
always_direct allow url_ign

use

squid -k reconfigure

para recarregar as configurações do squid

ezgonzaga
(usa Debian)

Enviado em 05/08/2011 - 11:01h

n4t4n,

Obrigado pela resposta. Coloquei onde você falou, porém usando o always_direct não libera os sites da lista, se mudo para http_access libera na hora.

Sabe me dizer por que?

Grato,
Ezequiel

natanaelhenrique
(usa Arch Linux)

Enviado em 08/08/2011 - 16:52h

Não consegui identificar qual o problema com seu squid que a regra always_direct não funciona. Pode ser que você tenha compilado o squid com algum patch ou coisa parecida não?

Em teoria era para funcionar, porém não sou um especialista em squid, mas sei que a ordem das regras é importante. Por exemplo na sua configuração os sites que você colocar aí serão acessados mesmo sem autenticação por causa que estão antes da regra que exige a mesma.

http://www.hardware.com.br/livros/servidores-linux/criando-uma-configuracao-basica.html

O mestre Morimoto descreve no artigo acima mencionado uma breve explicação das configurações do squid e fala sobre essa regra ficar antes da regra que libera os acessos proveniente da rede local, porém não sei porquê e também não tenho condições de testar isso aqui por enquanto. Então o jeito é testar mudar elas de lugar e ver se fazem diferença.

Quando você mudou ela para antes das http_access seu ambiente mudou né? pelo menos com http_access acessou, coisa que não acontecia antes correto?

ezgonzaga
(usa Debian)

Enviado em 08/08/2011 - 17:05h

Também não sei o porque que desta forma não funciona, mas com o http_access está funcionando normalmente. Vou deixar funcionando assim e ir realizando outros testes com o outro comando.

A principio eu segui este livro do Marimoto mesmo, mas como não funcionou vim buscar ajuda.

Pelo menos está funcionando. Vou marcar o tópico como resolvido.

Muito obrigado pela ajuda.
Abraço,
Ezequiel