SQUID - Bloqueio de sites. [RESOLVIDO]

jjbass
(usa Ubuntu)

Enviado em 23/05/2014 - 12:39h

Boa tarde.
Estou implementando meu primeiro servidor proxy-cache e estou com um problema:

Meu proxy esta configurando como transparente. Sei que https não passa pelo squid , mas tenho algo que funciona para uma acl e para outra não.

em primeiro , meu squid.conf

http_port 3128 transparent
cache_mem 1000 MB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid3 1000 16 256

maximum_object_size 4096 KB
minimum_object_size 0 KB

access_log /var/log/squid3/access.log
cache_log /var/log/squid3/cache.log
cache_store_log /var/log/squid3/store.log
pid_filename /var/log/squid3/squid3.pid
mime_table /usr/share/squid3/mime.conf

cache_mgr aaa@aaa.com.br
cache_effective_user proxy
cache_effective_group proxy

memory_pools off

diskd_program /usr/lib/squid3/diskd
unlinkd_program /usr/lib/squid3/unlinkd

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern (cgi-bin|\?) 0 0% 0
refresh_pattern . 0 20% 4320
quick_abort_max 16 KB
quick_abort_pct 95
quick_abort_min 16 KB
request_header_max_size 20 KB
reply_header_max_size 20 KB
request_body_max_size 0 KB


acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
acl vlan24 src 10.0.0.0/24
#acl all src 0.0.0.0/0.0.0.0 ## mudei aqui




acl SSL_ports port 443 563 587 403 25 8802
acl Safe_ports port 444
acl Safe_ports port 403
acl Safe_ports port 8802 # Frota
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 1863 403 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 110
acl Safe_ports port 587
acl Safe_ports port 25


acl CONNECT method CONNECT

#USUARIOS COMUNS#
acl usuarios_comuns arp "/etc/squid3/conf/mac_usuarios_comuns.conf"
acl sites_usuarios_comuns url_regex "/etc/squid3/conf/sites_usuarios_comuns.conf"
http_access allow usuarios_comuns
http_access deny sites_usuarios_comuns

#RESTRITOS

acl depto_gps arp "/etc/squid3/conf/mac_gps.conf"
acl sites_gps url_regex "/etc/squid3/conf/sites_gps.conf
http_access allow depto_gps sites_gps


http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports


http_access deny vlan24
http_access deny !vlan24

cache_mgr aa@aa.com.br
mail_program mail
cache_effective_user proxy
cache_effective_group proxy
httpd_suppress_version_string off
visible_hostname GTSA

error_directory /usr/share/squid3/errors/pt-br/


Se coloco meu MAC no sites_gps.conf , facebook.com não entra.
Se coloco meu MAC no usuarios_comuns.conf , facebook.com entra.

No sites_gps.conf , tem uma pequena lista dos sites com permissão de acesso.
No sites_usuarios_comuns tem uma lista dos sites que os usuarios NÃO podem acessar ( como facebook ).

Alguma ajuda ?

Buckminster
(usa Debian)

Enviado em 23/05/2014 - 12:46h

"Se coloco meu MAC no sites_gps.conf , facebook.com não entra.
Se coloco meu MAC no usuarios_comuns.conf , facebook.com entra.

No sites_gps.conf , tem uma pequena lista dos sites com permissão de acesso.
No sites_usuarios_comuns tem uma lista dos sites que os usuarios NÃO podem acessar ( como facebook )."


Veja bem, as ACLs sites_gps e sites_usuarios_comuns são url_regex e dentro dos arquivos sites_gps.conf e sites_usuarios_comuns.conf só se deve colocar URLs.

As ACLs arp é que são as ACLs de endereços MAC.

Qual é a versão do teu Squid?

Você tem firewal nessa máquina também?

jjbass
(usa Ubuntu)

Enviado em 23/05/2014 - 12:54h

Sim , iptables.
Os MAC´s estão colocados nos arquivos corretamente.
Só não entendo porque funciona para uma ACL e não para outra.

Buckminster
(usa Debian)

Enviado em 23/05/2014 - 13:04h

Essa parte

#USUARIOS COMUNS#
acl usuarios_comuns arp "/etc/squid3/conf/mac_usuarios_comuns.conf"
acl sites_usuarios_comuns url_regex "/etc/squid3/conf/sites_usuarios_comuns.conf"
http_access allow usuarios_comuns
http_access deny sites_usuarios_comuns

#RESTRITOS

acl depto_gps arp "/etc/squid3/conf/mac_gps.conf"
acl sites_gps url_regex "/etc/squid3/conf/sites_gps.conf
http_access allow depto_gps sites_gps


http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports




teste assim


#USUARIOS COMUNS#
acl usuarios_comuns arp "/etc/squid3/conf/mac_usuarios_comuns.conf"
acl sites_usuarios_comuns url_regex "/etc/squid3/conf/sites_usuarios_comuns.conf"

#RESTRITOS

acl depto_gps arp "/etc/squid3/conf/mac_gps.conf"
acl sites_gps url_regex "/etc/squid3/conf/sites_gps.conf

http_access allow depto_gps sites_gps
http_access allow usuarios_comuns
http_access deny sites_usuarios_comuns
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports


Procure colocar as ACLs de criação separadas das http_access. Sempre coloque as http_access por último.
E lembre-se que a ordem de colocação interfere.
O squid lê o arquivo de cima para baixo, se houver conflito entre duas ACLs, vale, basicamente, a que vem por primeiro.
E lembre-se também de dar um squid -k reconfigure toda vez que alterar o squid.conf, ou reinicie o Squid.