Dotaz: Squid konfigurace

[Jan Marek]

Ahoj chci se optat, jde Squid použít tak aby pracoval s dvěmi porty a na každém z nich měl nastaveny jiné restrikce? Problém je v tom, že nemohu nastavil ACL podle IP adres a podobně, ale podle proxy portu.

Uvedu příklad: uživatel z IP 192.16.1.1 má v prohlížeči nastaven port 3128, na tomto portu je ve Squidu zakázán facebook.com, ale půjde li uživatel ze stejné IP s nastavenýn portem 3129 může na facebook.com přistoupit.

Jedná se mi o konfoguraci více proxy portů a různých ACL pro ně.

Dík za radu

---

---

Odpovědi

[NN]

Podle IP adresy ACL nastavit jdou..

NN

[MMMMMMMMM]

http_port 3128 3129 a potom myportname, viz http://www.squid-cache.org/Doc/config/acl/ (teda alespoň myslím, musíš to zkusit prakticky)

[Filip Jirsák]

Ty parametry se jmenují localip a localport.

[linuxik]

Nemusis vymyslet nic sloziteho. Proste spust vic instanci Squidu s rozdilnou konfiguraci(squid -f squid.conf). Bezne mam na serveru 3 bezici squid procesy. Pri dnesnim vykonu CPU a mnozstvi RAM v serverech je to uplne jedno.

[Franta Hanzlik]

CPU a RAM IMO není nikdy dost, a nač kešovat některý obsah víckrát v různých instancích SQUIDu? Taky mám radši konfiguraci pohromadě, takže používám řešení nastíněné M{M}.
Pokud SQUID na všech portech funguje jako klasická proxy, je možné také použít (hlavně ve starších verzích kde myportname není) 'acl myport' ('acl localport' ve v3.2). 'myportname' ve v3.1+ je lepší a nechá se použít i u transparentní proxy, kde je většinou port 80 NATován na port SQUIDu.
Osobně používám konfiguraci, kde je jeden port konfigurován jako transparentní proxy (http_port lanIP:port1 intercept) a druhý jako normální forward proxy - a na portu transparent proxy jsou povoleny jen aktualizace OS/SW apod. a proxy-forward port je omezen podstatně méně.

[Jan Marek]

děkuji za informaci, odzkouším

[NN]

Podle meho nazoru jde o peknou hovadinu misto skutecneho reseni problemu..

NN

[Jan Mare]

proč by se mělo jednat o hovadinu? to, že nejsi schopen pochopit na co se to dá použít, neznamená že je to hovadina

[NN]

Nemohu nastavil ACL podle IP adres, tak pro jistotu pustim 2 instance, kazdou na jinem portu jako reseni, misto korektniho nastaveni ACL?? WTF??

NN

[Jan Mare]

děkuji za informaci, odzkouším a uvidíme co z toho vypadne :)

[Jan Marek]

proč by se mělo jednat o hovadinu? to, že nejsi schopen pochopit na co se to dá použít, neznamená že je to hovadina

[Jan Marek]

Takže jo už to funguje, dík za nakopnutí, nějak mi to nemyslelo

v confu se vytvoří například:

http_port 3128 3130 (pokud je to win verze squidu musí být pro druhý port zase řádek http_port 3130)

pak se pojmenují proxy porty pro lepší práci napríklad:

acl proxy_omezeny_pristup myport 3128

acl proxy_plny_pristup myport 3130

dale restrikce pro omezeny a plny pristup napríklad:

acl allowsites dstdomain "/etc/.../povolene_weby.acl" na windows opět cesta "c:\...\povolene_weby.acl"

ten povolene_weby.acl je klasický textový soubor, lze do něj zapisovat domény ve tvaru

.google.cz

.seznam.cz

a nakonec se to ještě povolí v confu squid v definici přístupů http například takto:

http_access allow allowsites localhost

http_deny deny proxy_omezeny_pristup

http_access allow proxy_plny_pristup localhost

 

funguje to tak jak má, pokud má uživatel nastavený port 3128 pro omezený přístup otevře jen domény v seznamu povolených webů, pokud má nastavený port 3130, otevře vše.

Využití? Pokud potřebuji lidem omezit přístup na web a v případě xyz jim jej povolit, třeba nějakým programem co v registrech změní proxy port :), takže se musí před přístupem do plného Internetu zalogovat (po nějakém čase je to může vyhodit).

Děkuji všem při pomoci konfigurace

Jan Marek

[Pindal]

Bezpečnost jak stehno. Ten jinej port si každej může změnit v prohlížeči.

[Jan Marek]

no to jde dost těžko, když lze užívat je Internet Explorer, v GroupPolice je zakázáno nastavení Internet Exploreru a do registrů (tohoto klíče) nemá uživatel právo zápisu

ale můžeš mi zkusit poradit, jak by to šlo zapsat? A informace typu bootování z CD apod. neberu v potaz

[peterko]

Mne pride lepsie pouzit transparentne proxy...

[Matěj Vaňátko]

To třeba téměř neumí HTTPS provoz. Podle mě, kolegy řešení je docela dobré. Pokud uživatelé nemají právo instalovat a síť je fyzicky zabezpečena tak, že cizí zařízení se nepřipojí, je vyhráno a řešení 2 squid portů je fajn, když to nelze podle IP adres.