Re: Regras para bloqueio https - aparentemente resolvido

[Pedro Debian <pedro_debian@yahoo.com.br>]

Olá Marcos,


Marcos Trazzini escreveu:
> > Olá pessoal,
> Opa, beleza?
>
> > Uso o squid para fazer restrições de acesso aos usuários. Foram criados
> >
> > alguns grupos onde são informados apenas os sites que os usuários podem
> >
> > acessar. Até ai tudo bem.
> Ótimo, menos mal.
>
> > No entanto, qdo os usuários acessam qualquer site pelo protocolo
> > https:// eles furam o proxy e conseguem navegar.
> Humm, isso é mal.
>
> (...)
> > Se faço
> >
> > http_access allow Faturamente Safe_Ports
> >
> > Os usuários voltam a ter acesso a qualquer site iniciado por https.
> >  Como
> > devo fazer para limitar o acesso dos usuários a apenas os sites que eu
> > especificar e não deixar o acesso livre como ocorre hoje?
> OK, vamos por partes. Primeiro explique o que tem na ACL "Faturamente"
> (Era pra ser "Faturamento", não?). Outra coisa importante que vc não
> deve ter percebido é que a ACL Safe_ports inclui um moooooonte de
> portas definidas por padrão no Squid, e não é a mais indicada para o
> seu caso. De qualquer forma, acho que a ACL SSL_ports é mais indicada.
Ops!!!! é o "Faturamente" foi realmente um equivoco... éra pra ser 
"Farutamento" mesmo, falha nossa. Sobre as ACLs eu tinha imaginado mas 
não colocado em prática... por isso todas as portas declaradas sob as 
variáveis Safe/SSL_Ports estavam abertas para os usuários passearem.
> Partindo do princípio que a ACL "Faturamente" possui a lista dos sites
> HTTPS que vc pretende liberar o acesso, acho que o seguinte já basta:
>
> ---- CORTE AQUI ----
>
> http_access allow Faturamente SSL_Ports
Como vc sugeriu eu coloquei a regra assim:
http_access allow Faturamento Sites_Faturamento SSL_Ports

Assim apenas os sites listados no arquivo vão poder fazer conexão com 
este tipo de porta. Nos testes iniciais pelo menos funcionou legal aqui.

Mas qualquer dúvida eu grito de novo.
> ---- CORTE AQUI ----
>
> Ah sim, tente colocar a linha uma linha antes da linha "http_access
> deny CONNECT "SSL_ports", só pra garantir que não haverá nenhuma outra
> regra definida antes que contrarie esta.
>
> Se NÃO DER CERTO, cole aqui suas regras do squid.conf. O comando a
> seguir pode ser útil:
>
> # grep '^[^#$]' /etc/squid/squid.conf |egrep '^(http_access|acl)'
>
> Abraço

Obrigado pelas dicas

Abraço

Pedro