[Date Prev][Date Next] [Thread Prev][Thread Next] [Date Index] [Thread Index]

Re: squid

caio ferreira escreveu:

Edmundo Valle Neto wrote:


Sim, eu pelo menos faço nesta sequencia:
* Nega acesso conforme algumas regras.
* Pede autenticação.
* Nega todo resto.
A última opção não seria "Aceitar todo o resto" ?!?! Já que se o site não foi barrado, quer dizer, o site pode der acessado, não seria correto liberar o acesso ou estou falando besteira ?!?! 

Depende.
Na minha configuração se o ip não foi liberado sem autenticação e não
foi liberado com autenticação ele é negado. Ou seja, provavelmente esta
parte nunca seja processada. Ela serve mais para indicar que alguma
coisa não foi prevista mesmo.



No arquivo Squid.conf alterar:
debug_options ALL,1 33,2



A unica coisa que esta aparecendo no arquivo de log é o seguinte:
1101450586.591      3 206.81.80.243 TCP_DENIED/403 1002 CONNECT
64.12.137.152:25 - NONE/- -
1101450586.696      2 206.81.80.243 TCP_DENIED/403 1002 CONNECT
64.12.137.152:25 - NONE/- -
1101450587.146      7 206.81.80.243 TCP_DENIED/403 1002 CONNECT
64.12.137.249:25 - NONE/- -
O squid tem vários arquivos de log. Você deve olhar no "cache.log" e não no access.log. 


    No arquivo access.log esta aparecendo o seguinte :
1101469010.574 2 206.81.80.243 TCP_DENIED/403 1002 CONNECT 64.12.137.152:25 - NONE/- - 1101469023.302 2 206.81.80.243 TCP_DENIED/403 1002 CONNECT 64.12.137.152:25 - NONE/- - 1101469027.476 3 206.81.80.243 TCP_DENIED/403 1002 CONNECT 64.12.137.121:25 - NONE/- - 1101469027.712 2 206.81.80.243 TCP_DENIED/403 1000 CONNECT 64.12.138.89:25 - NONE/- - 

    Ja no cache.log esta aparcendo o seguinte :
2004/11/26 09:37:07| The request CONNECT 64.12.137.121:25 is DENIED, because it matched 'Safe_ports' 2004/11/26 09:37:07| The request CONNECT 64.12.138.89:25 is DENIED, because it matched 'Safe_ports' 2004/11/26 09:38:39| The request CONNECT 205.188.156.249:25 is DENIED, because it matched 'Safe_ports' 

Você pode ver acima que o motivo de uma conexão não ter passado pelo
proxy foi a porta usada.
A porta 25 não faz parte da acl Safe_ports, e aliás isso está correto
não deve fazer.

Porém prestando atenção nos endereços e portas isso está estranho.
Indica que o IP 206.81.80.243 tentou usar vários servidores SMTP em um
espaço curto de tempo.





    No arquivo squid.conf tem os seguintes parametros :

hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443 563     # https, snews
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl Safe_ports port 901         # SWAT
acl purge method PURGE
acl CONNECT method CONNECT

http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports

* Vai negar qq conexão feita para uma porta não listada acima.


http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access deny all

* Vai negar qq conexao externa.


icp_access allow all
visible_hostname on


Na firewall tem o seguinte :
# port forward
for PROTO in tcp udp ; do
# Squid
$IPTABLES -t nat -A PREROUTING -i eth0 -p $PROTO --dport 80 -j REDIRECT --to-port 3128 
done



Ok. Proxy transparente.
Resolvi fazer um teste e coloquei o tcpdump para "escutar a porta 3128, tcpdump -i eth0 -n port 3128. Não estava aparecendo nada. Então resolvi alterar o script de firewall, comentei a linha acima e coloquei o seguinte : 

# redirecionamento de portas para poder trabalhar com o squid
$IPTABLES -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128 

    Agora acho que esta correto.



ok.
Se não fosse pedir muito sera que você poderia enviar para mim um arquivo de configuração do squid para dar uma olhada ?!?!? 


Sim, posso.



    Não querendo ser chato, mas acho que você esqueceu de enviar o arquivo.

    Desde já obrigado pela atenção.




Esta mensagem foi verificada pelo E-mail Protegido Terra.
Scan engine: McAfee VirusScan / Atualizado em 24/11/2004 / Versão: 4.3.20 (10.21) - Dat 4410 
Proteja o seu e-mail Terra: http://www.emailprotegido.terra.com.br/
Reply to: