Skype e Conexao de Rede

Ambiente:



Servidor CentOS 6.3 64 Bits

eth0: 10.106.0.200

eth1: 200.200.200.1 (rede interna)



Cliente Windows XP

IP: 200.200.200.2



Vamos começar ajustando algumas configurações básicas no servidor:

Alterando o nome do Servidor:



    vi /etc/sysconfig/network



    [Conteúdo do Arquivo]



    NETWORKING=yes

    NETWORKING_IPV6=no

    HOSTNAME=proxy



Desativando o IPtables Padrão:



    chkconfig iptables off

    chkconfig ip6tables off

    /etc/rc.d/init.d/iptables stop

    /etc/rc.d/init.d/ip6tables stop



Desativando o SELinux:



    vi /etc/selinux/config

    Mude a linha ‘SELINUX=enforcing’ para:



    SELINUX=disabled



Instalando os repositórios EPEL e RPMForge:



    rpm -Uvh http://pkgs.repoforge.org/rpmforge-release/rpmforge-release-0.5.2-2.el6.rf.x86_64.rpm

    rpm -Uvh http://fedora.uib.no/epel/6/x86_64/epel-release-6-7.noarch.rpm



Vamos reiniciar o servidor para validar nossas alterações acima, como hostname, selinux, etc.



    init 6



Instalando o SQUID:



Versão do Squid: 3.1



    yum -y install squid



Agora acesse o diretório do squid:



    cd /etc/squid/



Fazemos backup do ‘squid.conf’



    cp -Rfa squid.conf{,.bkp}

    rm -rf squid.conf



Criamos uma diretório para criação de regras:



    mkdir /etc/squid/regras



Alteramos o dono e o grupo do diretório:



    chown -R squid:squid /etc/squid/regras/



Agora vamos criar o arquivo que irá conter a nossa lista de sites probibidos e liberados, etc.



    touch sites-liberados

    touch sites-proibidos



Mudamos a permissão para o usuário ‘squid’:



    chown -R squid:squid /etc/squid/regras/*



Agora vamos a criação do arquivo ‘squid.conf’:



    touch /etc/squid/squid.conf



    chown -R root:squid /etc/squid/squid.conf



Antes de começar a configuração do squid, vamos criar um arquivo que irá conter a senhas dos usuários que irão acessar a Internet:



Instale o pacote abaixo:



    yum -y install httpd-tools.x86_64



Com o comando abaixo, vamos criar a lista e um login chamado ‘admin’ para o arquivo não ficar vazio.



    htpasswd -c /etc/squid/passwd admin

    New password: Digite a senha

    Re-type new password: Redigite a senha.

    Adding password for user admin



Pronto!

Agora vamos ao conteúdo de configuração do squid.conf:



    #############################################

    ### ARQUIVO DE CONFIGURACAO DO SQUID.CONF ###

    ### VERSAO: 3.1 – DATA: 12/09/2012 ###

    #############################################

    #

    # Recommended minimum configuration:

    #

    acl manager proto cache_object

    acl localhost src 127.0.0.1/32 ::1

    acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1



    # Example rule allowing access from your local networks.

    # Adapt to list your (internal) IP networks from where browsing

    # should be allowed

    acl localnet src 10.0.0.0/8 # RFC1918 possible internal network

    acl localnet src 172.16.0.0/12 # RFC1918 possible internal network

    acl localnet src 192.168.0.0/16 # RFC1918 possible internal network

    acl localnet src fc00::/7 # RFC 4193 local private network range

    acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines



    acl SSL_ports port 443

    acl Safe_ports port 80 # http

    acl Safe_ports port 21 # ftp

    acl Safe_ports port 443 # https

    acl Safe_ports port 70 # gopher

    acl Safe_ports port 210 # wais

    acl Safe_ports port 1025-65535 # unregistered ports

    acl Safe_ports port 280 # http-mgmt

    acl Safe_ports port 488 # gss-http

    acl Safe_ports port 591 # filemaker

    acl Safe_ports port 777 # multiling http

    acl CONNECT method CONNECT



    #

    # Recommended minimum Access Permission configuration:

    #

    # Only allow cachemgr access from localhost

    http_access allow manager localhost

    http_access deny manager



    # Deny requests to certain unsafe ports

    http_access deny !Safe_ports



    # Deny CONNECT to other than secure SSL ports

    http_access deny CONNECT !SSL_ports



    # We strongly recommend the following be uncommented to protect innocent

    # web applications running on the proxy server who think the only

    # one who can access services on “localhost” is a local user

    #http_access deny to_localhost



    #

    # INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS

    # INSIRA AQUI SUAS REGRAS DO SQUID

    ##=======================================================================##



    ### DEFININDO PORTA

    http_port 3128



    ### DEFININDO MODO DE AUTENTICACAO

    auth_param basic program /usr/lib64/squid/ncsa_auth /etc/squid/passwd

    auth_param basic children 5

    auth_param basic realm “DIGITE SEU USUARIO E SENHA PARA ACESSO A INTERNET:”

    auth_param basic credentialsttl 2 hours

    auth_param basic casesensitive off



    ### INICIO DAS ACL’S



    #Recommended minimum configuration:

    acl liberados proxy_auth admin

    acl proibidos url_regex -i “/etc/squid/regras/sites-proibidos”

    acl permitidos url_regex -i “/etc/squid/regras/sites-liberados”

    acl extencao urlpath_regex .mp3$ .exe$ .avi$ .pif$ .com$ .bat$ .wma$ .rmvb$ .piff$ .src$ .mpeg$

    acl download proxy_auth admin



    # Acesso Liberado em Horario de Almoco #

    #acl almoco time MTWHF 12:00-13:00



    ### FIM DAS ACL’S



    ### INICIO DOS HTTP_ACCESS

    http_access allow liberados

    http_access allow download

    http_access deny proibidos

    http_access allow permitidos

    http_access deny extencao

    ### FIM DOS HTTP_ACCESS

    ### NOME DO SERVIDOR PROXY

    visible_hostname proxy.seudominio.com.br



    ### DIRETORIO ONDE CONTEM AS PAGINAS DE ERROS, BLOQUEIOS, ETC

    error_directory /usr/share/squid/errors/pt-br



    ### CRIANDO ARQUIVO DE LOGS ###

    access_log /var/log/squid/access.log squid

    cache_log /var/log/squid/cache.log

    cache_store_log /var/log/squid/store.log



    ##=============================================================##

    # Example rule allowing access from your local networks.

    # Adapt localnet in the ACL section to list your (internal) IP networks

    # from where browsing should be allowed

    http_access allow localnet

    http_access allow localhost



    # And finally deny all other access to this proxy

    http_access deny all



    # We recommend you to use at least the following line.

    hierarchy_stoplist cgi-bin ?



    # Uncomment and adjust the following to add a disk cache directory.

    cache_dir ufs /var/spool/squid 1000 16 256



    # Leave coredumps in the first cache dir

    coredump_dir /var/spool/squid



    # Add any of your own refresh_pattern entries above these.

    refresh_pattern ^ftp: 1440 20% 10080

    refresh_pattern ^gopher: 1440 0% 1440

    refresh_pattern -i (/cgi-bin/|\?) 0 0% 0

    refresh_pattern . 0 20% 4320



Agora vamos reiniciar o serviço, pra ver se ta tudo ok!



    /etc/init.d/squid restart



Configuramos para que seja iniciando junto ao boot:



    chkconfig squid on



Nesse squid.conf ele está liberando o acesso total para os logins listados na ‘acl’ ‘liberados’, o restante está com acesso proibido a qualquer site.

Para isso use a lista de sites-permitidos para liberar os acessos necessários.

Caso seja necessário altere conforme sua necessidade, aqui é só exemplo.

Agora vamos criar as regras do IPTables.



O Firewall está bem simples, servindo apenas como exemplo, pois cada rede necessita de um firewall ajustado.



Nesse aqui liberamos as portas ao serviço de e-mail e direcionamos o acesso a web.



    #!/bin/bash



    # VARIAVEIS

    REDELOCAL=200.200.200.0/255.255.255.0

    ## ——————————————————- ##



    # LIMPA CONFIGURACOES ANTERIORES

    /sbin/iptables -t nat –flush

    /sbin/iptables –flush

    ## ——————————————————- ##



    # CARREGANDO MODULOS IPTABLES

    /sbin/modprobe iptable_nat

    /sbin/modprobe ip_nat_ftp

    /sbin/modprobe ip_gre

    /sbin/modprobe ip_conntrack

    /sbin/modprobe ip_conntrack_ftp

    ## ——————————————————- ##



    # ATIVANDO COMPARTILHAMENTO DE CONEXAO

    echo 1 > /proc/sys/net/ipv4/ip_forward

    ## ——————————————————- ##



    # OBRIGA AS ESTACOES A USAR O PROXY

    /sbin/iptables -t nat -A PREROUTING -i eth1 -p tcp –dport 80 -j DNAT –to-dest 200.200.200.1:3128

    ## LIBERANDO PORTA IMAP – POP – SMTP ##

    /sbin/iptables -t nat -A POSTROUTING -s $REDELOCAL -p tcp –dport 25 -j MASQUERADE

    /sbin/iptables -t nat -A POSTROUTING -s $REDELOCAL -p tcp –dport 110 -j MASQUERADE

    /sbin/iptables -t nat -A POSTROUTING -s $REDELOCAL -p tcp –dport 587 -j MASQUERADE

    /sbin/iptables -t nat -A POSTROUTING -s $REDELOCAL -p tcp –dport 993 -j MASQUERADE



Agora é só ajustar o gateway no seu cliente para teste.



o Gateway deve ser o IP (rede interna) do Firewall/Proxy



no caso que usamos= 200.200.200.1

E testar a navegação, insira e remova o proxy para testes.



Proxy básico, funcionando no CentOS.



abs. 

 

iptables -A PORTAS -i lo -j ACCEPT