squid ta liberando tudo!! [RESOLVIDO]

xloko
(usa Debian)

Enviado em 04/05/2009 - 18:39h

opa !! galera .. to doido com issso
squid esta liberando tudo!!
nao esta respeitando minhas ACLs
segue as mihas configuracoes!
caso alguem encontre um tremno fim do tunel..
valeus!!
-----------------------------
http_port 3128 transparent
cache_mem 8 MB
maximum_object_size 4096 KB
cache_dir ufs /var/spool/squid 100 16 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
emulate_httpd_log on
error_directory /usr/share/squid/errors/Portuguese
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80
acl Safe_ports port 70
acl Safe_ports port 21
acl Safe_ports port 443 563
acl Safe_ports port 70
acl Safe_ports port 210
acl Safe_ports port 1025-65535
acl Safe_ports port 280
acl Safe_ports port 488
acl Safe_ports port 591
acl Safe_ports port 777
acl CONNECT method CONNECT
acl network src 192.168.0.0/24
acl no_sites dstdomain "/etc/squid/nosite"
acl no_palavra url_regex -i "/etc/squid/nopalavra"
acl sim_palavra url_regex -i "/etc/squid/simpalavra"
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny no_sites
http_access allow sim_palavra
http_access deny no_palavra
http_access allow network
http_access deny all


--------------------------
dentro de "nosite" tem
orkut.com
playboy.com
-------------------------
firewall
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
iptables -t nat -A PREROUTING -s 192.168.0.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128
-----------------------------------------

fbsalvi
(usa Outra)

Enviado em 05/05/2009 - 07:59h

Ola , vc ja tentou inverter assim..

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -s 192.168.0.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

faça o teste...

comfaa
(usa Debian)

Enviado em 05/05/2009 - 08:04h

cara tenta colocar ser squid.conf assim ....

http_port 3128 transparent
cache_mem 8 MB
maximum_object_size 4096 KB
cache_dir ufs /var/spool/squid 100 16 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
emulate_httpd_log on
error_directory /usr/share/squid/errors/Portuguese
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80
acl Safe_ports port 70
acl Safe_ports port 21
acl Safe_ports port 443 563
acl Safe_ports port 70
acl Safe_ports port 210
acl Safe_ports port 1025-65535
acl Safe_ports port 280
acl Safe_ports port 488
acl Safe_ports port 591
acl Safe_ports port 777
acl CONNECT method CONNECT
acl network src 192.168.0.0/24
acl no_sites dstdomain "/etc/squid/nosite"
acl no_palavra url_regex -i "/etc/squid/nopalavra"
acl sim_palavra url_regex -i "/etc/squid/simpalavra"

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access deny no_sites
http_access allow sim_palavra
http_access deny no_palavra
http_access allow network
http_access deny all

icp_access deny all


qualquer coisa, posta aqui ....

eduardo
(usa Linux Mint)

Enviado em 05/05/2009 - 08:34h

De acordo com as suas regras, quem estiver na rede network conseguira acessar tudo, exceto os no_sites e os no_palavra.
Você bloqueou a porta 80 para não passar também?

Abraços

xloko
(usa Debian)

Enviado em 05/05/2009 - 10:36h

humm valeus galera!!

fbsalvi --> limpei as regras e Mudei a ordem --> e nada!!

comfaa --> adicionei o ( icp_access deny all) no final -- > e nada

thedrummer --> a porta 80 esta sendo direcionada para 3128, e esta passando pelo log do squid.

mais alguma ideia ?

obrigado galera!!

eduardo
(usa Linux Mint)

Enviado em 05/05/2009 - 10:38h

Mas me diz uma coisa, se você marca o proxy na estação, funciona?

fbsalvi
(usa Outra)

Enviado em 05/05/2009 - 10:41h

entao vamos la....

aonde esta http_access allow netwok , vc tenta fazer isso..

vcquer bloquear nosite e nopalavra e liberar simpalavra correto? se sim

tenta assimm na linha:
http_access allow network simpalavra !nosite !nopalavra

! quer dizer exceto correto.
ali to dizendo que pode acessar network simpalavra, exceto nosite e nopalavra

QQ. coisa tamo ae...

Abraços..

xloko
(usa Debian)

Enviado em 05/05/2009 - 11:06h

thedrummer --> sim, quanto transparente o quanto para proxy - n ta barrando

fbsalvi ---> adicionei a linha

http_access allow network simpalavra !nosite !nopalavra

e nadaaaaaaaaaaaaaa!!

squid reconfigured!

testei e nda! vi o log e ta tudo lá!!!
tamu na luta ai !!

fbsalvi
(usa Outra)

Enviado em 05/05/2009 - 12:02h

puts oloko.. entao faz assimm:

no firewall deixa assim a sequencia...

echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -t nat -A PREROUTING -s 192.168.0.0/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

no squid deixa assim a sequencia:
#
http_access allow manager localhost
http_access deny manager
http_access deny no_sites
http_access deny no_palavra
http_access allow sim_palavra
http_access allow network sim_palavra !no_sites !no_palavra
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny all
#

Abraços
qq. coisa tamo , vai que da certo..

fbsalvi
(usa Outra)

Enviado em 05/05/2009 - 12:13h

uma outra pergunta estes aquivos estao em .txt?

tipo no_sites.txt

fbsalvi
(usa Outra)

Enviado em 05/05/2009 - 12:16h

xloco desculpa cara antes eu tinha te falado pra colocar assim:

http_access allow network simpalavra !nosite !nopalavra

o correto eh

http_access allow network sim_palavra !no_sites e !no_palavra

tenta que vai dar certo..

Abraços..

xloko
(usa Debian)

Enviado em 05/05/2009 - 12:48h

fbsalvi --->> coloquei a seguencia no fire e no squid -->> e NADA!!

acl nao está em txt, ai pra testar eu altereei no squid e criei
touch /etc/squid/nosite.txt
echo http://www.google.com.br > /etc/squid/nosite.txt


---->>

acl no_sites dstdomain "/etc/squid/nosite.txt"
http_access deny no_sites
http_access allow network sim_palavra !no_sites !no_palavra

------>>
logico !! barrei o google so pra teste.. mas o google passsou!!!

ai é ke fico XXX LOUCCCO !!

valeus!