Dotaz: Zákaz a zároveň povolení subdomény na stejné veřejné IP ve Squidu

[Open Mage]

Zdravím, rád bych na na proxy ošetřil přístup na chat.quick.cz a zároveň nechal povoleno phone.quick.cz pro práci. Obě subdomény jsou však hostované na stejném stroji (stejná veřejná IP adresa) - dá se to nějak řešit ? Zkoušel jsem prá fint, ale většinou ta stránka byla prostě povolená - no matter dal-li uživatel tu či onu subdoménu. Díky, Standa

Odpovědi

[Filip Jirsák]

Protože píšete, že se jedná o Squid, nechápu, co s tím má společného IP adresa. Prostě dejte do squid.conf

acl chat dstdomain chat.quick.cz jiny.chat.cz …
http_access deny chat

[Open Mage]

Dobra, ale pokud to takhle udelam :

acl chat dstdomain chat.quick.cz
http_access deny chat

acl dohledavani dstdomain phone.quick.cz
http_access allow dohledavani

Tak nejde ani jedno ani druhe :o(

[Filip Jirsák]

A jiné stránky jdou? Co přesně vypíše Squid za chybu? Jinak ta pravidla bych dal spíš

acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.1/255.255.255.255

acl private_net src 192.168.11.0/255.255.255.0

acl chat dstdomain chat.quick.cz
http_access deny chat

http_access allow localhost
http_access allow private_net

http_access deny all

Jestli se nepletu, pokud sse nechytí žádné pravidlo, tak platí negace posledního, takže tím vaším byste zablokoval vše mimo phone.quick.cz.

[Open Mage]

Squid napíše Access Denied u obou subdomén, což je špatně. Zkoušel jsem přehodit posloupnost zápisu podle Vašeho kódu a nepomohlo. Té Vaší poslední větě nerozumím, můj cíl právě je povolit phone.quick.cz a zakázat chat.quick.cz ...

[Open Mage]

Nakonec jsem to vyřešil krkolomým způsobem, ale naprosto funkčním. chat.quick.cz jsem zapsal do /etc/hosts s nějakou imaginární IP a ve squid.conf jsem ho zakázal, phone.quick.cz povolen a běhá to náramně.

[tezkatlipoka]

to musi prece fungovat. Nadefinovat dve ACL, pro chat a pro phone, jedno zakazat, druhe povolit.

Nebo ACL na quick.cz a na phone, a pak nejdriv povolit phone, a potom zakazat quick.cz. Zalezi totiz na poradi radků.

[tezkatlipoka]

jinak ja vkladam do Squidu jako dve ACL dva soubory, treba zakaz.txt a povol.txt a do tech uz jen zapisuju co chci a co nechci. A kdyz je das v poradi povol a zakaz do squidu, muzes zapsat do zakaz.txt celou domenu, a do povol.txt treba jen jednu stranku, a funguje to tak jak chci, ze je jen jedna stranka z cele domeny povolena.

[Filip Jirsák]

Pak to ale zakáže nějaké jiné pravidlo, už dřív. Na to je potřeba dát pozor, Squid postupně ta pravidla prochází a první, které se uplatní, vyhraje, ostatní už se nekontrolují.

Moje poslední věta znamená, že když Squid prochází jednotlivá pravidla, a žádné pravidlo se neuplatní, platí negace výstupu (alow/deny) posledního pravidla. Pokud tedy poslední řádek je

http_acces … deny

všechno, co nespadlo pod nějaké pravidlo, bude povoleno.