forum.opennet.ru


Форум Настройка Squid, Tor и прокси серверов

CentOS 6.4 + squid 3.1.10 cache.log->clientProcessRequest: Inva,

Tim, (Squid) 30-Окт-13, 17:43 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго времени суток!
Предистория...
Жил был серверок-прокся на 6.3+ сквид 2.7.. Обслуживал 500 запросов в минуту и не тужил.
Но тут пришло время обновляться (видимо по глупости меня). И стал он 6.4 + сквид 3.1.10
Все как бы работает, но cache.log стал рости..
причина не выявлена.. пишет следующее..
2013/10/30 17:24:20| clientProcessRequest: Invalid Request
2013/10/30 17:24:30| clientProcessRequest: Invalid Request
2013/10/30 17:24:40| clientProcessRequest: Invalid Request
2013/10/30 17:24:50| clientProcessRequest: Invalid Request
2013/10/30 17:25:00| clientProcessRequest: Invalid Request
2013/10/30 17:25:10| clientProcessRequest: Invalid Request
2013/10/30 17:25:20| clientProcessRequest: Invalid Request
2013/10/30 17:25:30| clientProcessRequest: Invalid Request
2013/10/30 17:25:51| clientProcessRequest: Invalid Request
2013/10/30 17:26:01| clientProcessRequest: Invalid Request
2013/10/30 17:26:21| clientProcessRequest: Invalid Request
2013/10/30 17:26:31| clientProcessRequest: Invalid Request
2013/10/30 17:26:41| clientProcessRequest: Invalid Request
2013/10/30 17:26:51| clientProcessRequest: Invalid Request
2013/10/30 17:27:01| clientProcessRequest: Invalid Request
2013/10/30 17:27:11| clientProcessRequest: Invalid Request
2013/10/30 17:27:21| clientProcessRequest: Invalid Request
2013/10/30 17:27:31| clientProcessRequest: Invalid Request
2013/10/30 17:27:41| clientProcessRequest: Invalid Request
2013/10/30 17:27:51| clientProcessRequest: Invalid Request
2013/10/30 17:28:11| clientProcessRequest: Invalid Request
2013/10/30 17:28:21| clientProcessRequest: Invalid Request
2013/10/30 17:28:31| clientProcessRequest: Invalid Request
2013/10/30 17:28:41| clientProcessRequest: Invalid Request
и ... так далее...
Просторы инета не дали ответов.
Вот и пришел глупенький админ просить совета у старейшин..
Что это за гадость?
никаких видимых причин нет...ошибок тоже... нареканий в работе тоже нет..

Ответить | Сообщить модератору

1 - после этих строк точно больше нет сообщений Может еще что пишет 2 - релиз с, ipmanyak (ok), 09:55 , 01-Ноя-13 (1)

> 2013/10/30 17:24:20| clientProcessRequest: Invalid Request
1 - после этих строк точно больше нет сообщений? Может еще что пишет?
2 - релиз сквид вы взяли не самый удачный. У нас с версией 3.1.20 были траблы, сейчас уже не помню точно, с какими-то определенными сайтами были траблы, поставили 3.2.7. Советую и вам поставить посвежее, или 3.2.x или 3.3.x
3 - сквид у вас прозрачный? Если да, прозрачность в 3 версии описывается совсем по-другому. Некоторые опции изменены в конфиге.

сообщить модератору +/– ответить

Спасибо за сочувствие 1 только служебные строки запуска и далее ЭТО 2 -3 Да, Tim (??), 10:45 , 01-Ноя-13 (2)
>> 2013/10/30 17:24:20| clientProcessRequest: Invalid Request
> 1 - после этих строк точно больше нет сообщений? Может еще что
> пишет?
> 2 - релиз сквид вы взяли не самый удачный. У нас с
> версией 3.1.20 были траблы, сейчас уже не помню точно, с какими-то
> определенными сайтами были траблы, поставили 3.2.7. Советую и вам поставить посвежее,
> или 3.2.x или 3.3.x
> 3 - сквид у вас прозрачный? Если да, прозрачность в 3 версии
> описывается совсем по-другому. Некоторые опции изменены в конфиге.
Спасибо за сочувствие...
1. только служебные строки запуска и далее ЭТО..
2.-3. Да, бал прокси, не пренастраивал... конфиг тот же.. пару строк изменил..
3,2,7 мне не понравилось (или не разобрлся) что необходимо два порта-на кой их два надо?
на соседнем проксистоит та же система и тот же сквид-проблем нет, но настрйки другие.
привожу конфиг сквида... на сегодняшний день отключил лог cache
#
acl local src 192.168.0.1-192.168.0.254
acl local src 192.168.2.1-192.168.2.254
acl local src 172.16.0.1-172.16.254.254
dns_nameservers 85.175.46.122 85.177.46.130
visible_hostname Proxy
http_port 192.168.0.100:3128 transparent
tcp_outgoing_address 0.0.0.0 local
logfile_rotate 5
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
#acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 1024
acl Safe_ports port 5900
acl CONNECT method CONNECT
####################
acl full arp "/etc/squid/arc/full.txt"
http_access allow full
##
http_access deny !Safe_ports
http_access allow CONNECT !SSL_ports

#acl torrent_mime rep_mime_type -i ^application/x-bittorrent$
#acl torrent_mime rep_mime_type -i application/x-bittorrent
#acl torrent urlpath_regex -i \.torrent$
#http_access deny torrent !full
#http_reply_access deny torrent_mime !full
#acl numeric_IPs dstdom_regex ^(([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9af]+)?:([0-9af:]+)?:([0-9af]+)?\])):443
#acl numeric_IP dstdom_regex ^([0-9]+\.[0-9]+\.[0-9]+\.[0-9]+)|(\[([0-9af]+)?:([0-9af:]+)?:([0-9af]+)?\])
#http_access deny numeric_IPs !full
#http_access deny numeric_IP !full
#http_access deny CONNECT !full
acl media rep_mime_type video/flv video/x-flv
acl mediapr urlpath_regex \.flv(\?.*)?$
acl media rep_mime_type application/x-shockwave-flash
acl mediapr urlpath_regex \.swf(\?.*)?$

##
acl porn url_regex "/etc/squid/filter/porn-social.txt"
http_access deny porn !full
acl master arp "/etc/squid/arc/master.txt"
http_access allow master
##Закрываем доступ к Flash
http_access deny mediapr !full !master
http_reply_access deny media !full !master
##
acl tor url_regex "/etc/squid/filter/tor.txt"
http_access deny tor !full !master
acl razvlek url_regex "/etc/squid/filter/razvlek.txt"
http_access deny razvlek !full !master
acl vk url_regex "/etc/squid/filter/vk.txt"
acl odnoklas url_regex "/etc/squid/filter/odnoklas.txt"
http_access deny vk !full !master
http_access deny odnoklas !full !master
acl student arp "/etc/squid/arc/student.txt"
http_access allow student
#запретить доступ всем кого нет в списках
http_access deny local
####################
error_directory /etc/squid/errors/ru
coredump_dir /var/spool/squid
########################
# Uncomment and adjust the following to add a disk cache directory.
cache_dir ufs /var/spool/squid 4096 32 256
cache_swap_high 95
cache_swap_low 90
maximum_object_size 1000 kb
minimum_object_size 0 kb
#ipcache_hight 95
#ipcache_low 90
cache_access_log /etc/squid/log/access.log
######################################################!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!
cache_log /dev/null
#cache_log /etc/squid/log/cache.log
#cache_store_log none

delay_pools 3
delay_class 1 2
delay_class 2 2
delay_class 3 2
delay_access 1 allow full
delay_access 1 deny all

delay_access 2 allow master
delay_access 2 deny all

delay_access 3 allow student
delay_access 3 deny all
delay_parameters 1 -1/-1 -1/-1
delay_parameters 2 -1/-1 -1/-1
delay_parameters 3 -1/-1 256000/256000
#######################
# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern .        0    20%    4320

сообщить модератору +/– ответить

строка clientProcessRequest Invalid Request если нет больше дополнительных сооб, ipmanyak (ok), 11:16 , 01-Ноя-13 (3)
строка clientProcessRequest: Invalid Request
если нет больше дополнительных сообщений, говорит о том, что кто-то (софт или девайс, например какой-нить SIP телефон) пытается ломиться через ваш прокси с кривыми HTTP запросами или вообще хрен знает с чем. Сквид у вас прозрачный, наверняка что-то в этом плане есть. Включите debug в конфиге скивда с уровнем побольше и cache_log включите и смотрите там месcаги , в том числе смотрите access.log чтобы выявить IP источника, в access.log возможно можно найти тип таких запросов.
сообщить модератору +/– ответить

Спасибо, будем пробовать только пока не знаю как это реализовать,нельзя приос, Tim (??), 11:23 , 01-Ноя-13 (4)
> Включите debug
> в конфиге скивда с уровнем побольше и cache_log включите и смотрите
> там месcаги , в том числе смотрите access.log чтобы выявить
> IP источника, в access.log возможно можно найти тип таких запросов.
Спасибо, будем пробовать... только пока не знаю как это реализовать,
нельзя приостанавливать во время рабочего дня проксю, а после комп КРИВОГО может быть выключен..
debug валит не просто кучу, а всё... это милллионы строк...
Есть возможность как нить выявить по другому? дебаг конкретно на такой запрос?
сообщить модератору +/– ответить

посмотрите access log может там что увидите, ipmanyak (ok), 11:44 , 01-Ноя-13 (5)
>> Включите debug
>> в конфиге скивда с уровнем побольше и cache_log включите и смотрите
>> там месcаги , в том числе смотрите access.log чтобы выявить
>> IP источника, в access.log возможно можно найти тип таких запросов.
> Спасибо, будем пробовать... только пока не знаю как это реализовать,
> нельзя приостанавливать во время рабочего дня проксю, а после комп КРИВОГО может
> быть выключен..
> debug валит не просто кучу, а всё... это милллионы строк...
> Есть возможность как нить выявить по другому? дебаг конкретно на такой запрос?
посмотрите access.log может там что увидите

сообщить модератору +/– ответить

squid3 как настроить анонимный прокси,

unmanner, (Squid) 30-Окт-13, 14:41 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
Я использую локальный прокси сервер для туннелирования трафика от браузера через различние openvpn каналы (в зависимости от порта).
Сейчас появилась необходимость не "палить" локальный адрес за прокси как и само использование прокси.
В связи с этим вопрос - что мне нужно поменять в squid.conf для этого? Какие строки с 'reply_header_access' раскоментить для этого?

# AUTOGENERATED LINES
http_port 3131 name=3131
acl tasty3131 myportname 3131 src 10.12.0.58
http_access allow tasty3131
tcp_outgoing_address 10.12.0.58 tasty3131
http_port 3129 name=3129
acl tasty3129 myportname 3129 src 10.200.1.7
http_access allow tasty3129
tcp_outgoing_address 10.200.1.7 tasty3129
http_port 3128 name=3128
acl tasty3128 myportname 3128 src 10.44.0.7
http_access allow tasty3128
tcp_outgoing_address 10.44.0.7 tasty3128
http_port 3130 name=3130
acl tasty3130 myportname 3130 src 10.44.0.6
http_access allow tasty3130
tcp_outgoing_address 10.44.0.6 tasty3130
# AUTOGENERATED LINES
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
acl SSL_ports port 443
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl CONNECT method CONNECT
#
# Recommended minimum Access Permission configuration:
#
# Only allow cachemgr access from localhost
http_access allow manager localhost
http_access deny manager
# Deny requests to certain unsafe ports
http_access deny !Safe_ports
# Deny CONNECT to other than secure SSL ports
http_access deny CONNECT !SSL_ports
# Example rule allowing access from your local networks.
# Adapt localnet in the ACL section to list your (internal) IP networks
# from where browsing should be allowed
#http_access allow localnet
http_access allow localhost
# And finally deny all other access to this proxy
http_access deny all
# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid3
# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern (Release|Packages(.gz)*)$      0       20%     2880
# example lin deb packages
#refresh_pattern (\.deb|\.udeb)$   129600 100% 129600
refresh_pattern .        0    20%    4320
#  TAG: request_header_access
#    Usage: request_header_access header_name allow|deny [!]aclname ...
#
#    WARNING: Doing this VIOLATES the HTTP standard.  Enabling
#    this feature could make you liable for problems which it
#    causes.
#
#    This option replaces the old 'anonymize_headers' and the
#    older 'http_anonymizer' option with something that is much
#    more configurable. This new method creates a list of ACLs
#    for each header, allowing you very fine-tuned header
#    mangling.
#
#    This option only applies to request headers, i.e., from the
#    client to the server.
#
#    You can only specify known headers for the header name.
#    Other headers are reclassified as 'Other'. You can also
#    refer to all the headers with 'All'.
#
#    For example, to achieve the same behavior as the old
#    'http_anonymizer standard' option, you should use:
#
#        request_header_access From deny all
#        request_header_access Referer deny all
#        request_header_access Server deny all
#        request_header_access User-Agent deny all
#        request_header_access WWW-Authenticate deny all
#        request_header_access Link deny all
#
#    Or, to reproduce the old 'http_anonymizer paranoid' feature
#    you should use:
#
#        request_header_access Allow allow all
#        request_header_access Authorization allow all
#        request_header_access WWW-Authenticate allow all
#        request_header_access Proxy-Authorization allow all
#        request_header_access Proxy-Authenticate allow all
#        request_header_access Cache-Control allow all
#        request_header_access Content-Encoding allow all
#        request_header_access Content-Length allow all
#        request_header_access Content-Type allow all
#        request_header_access Date allow all
#        request_header_access Expires allow all
#        request_header_access Host allow all
#        request_header_access If-Modified-Since allow all
#        request_header_access Last-Modified allow all
#        request_header_access Location allow all
#        request_header_access Pragma allow all
#        request_header_access Accept allow all
#        request_header_access Accept-Charset allow all
#        request_header_access Accept-Encoding allow all
#        request_header_access Accept-Language allow all
#        request_header_access Content-Language allow all
#        request_header_access Mime-Version allow all
#        request_header_access Retry-After allow all
#        request_header_access Title allow all
#        request_header_access Connection allow all
#        request_header_access All deny all
#
#    although many of those are HTTP reply headers, and so should be
#    controlled with the reply_header_access directive.
#
#    By default, all headers are allowed (no anonymizing is
#    performed).
#Default:
# none
#  TAG: reply_header_access
#    Usage: reply_header_access header_name allow|deny [!]aclname ...
#
#    WARNING: Doing this VIOLATES the HTTP standard.  Enabling
#    this feature could make you liable for problems which it
#    causes.
#
#    This option only applies to reply headers, i.e., from the
#    server to the client.
#
#    This is the same as request_header_access, but in the other
#    direction.
#
#    This option replaces the old 'anonymize_headers' and the
#    older 'http_anonymizer' option with something that is much
#    more configurable. This new method creates a list of ACLs
#    for each header, allowing you very fine-tuned header
#    mangling.
#
#    You can only specify known headers for the header name.
#    Other headers are reclassified as 'Other'. You can also
#    refer to all the headers with 'All'.
#
#    For example, to achieve the same behavior as the old
#    'http_anonymizer standard' option, you should use:
#
#        reply_header_access From deny all
#        reply_header_access Referer deny all
#        reply_header_access Server deny all
#        reply_header_access User-Agent deny all
#        reply_header_access WWW-Authenticate deny all
#        reply_header_access Link deny all
#
#    Or, to reproduce the old 'http_anonymizer paranoid' feature
#    you should use:
#
#        reply_header_access Allow allow all
#        reply_header_access Authorization allow all
#        reply_header_access WWW-Authenticate allow all
#        reply_header_access Proxy-Authorization allow all
#        reply_header_access Proxy-Authenticate allow all
#        reply_header_access Cache-Control allow all
#        reply_header_access Content-Encoding allow all
#        reply_header_access Content-Length allow all
#        reply_header_access Content-Type allow all
#        reply_header_access Date allow all
#        reply_header_access Expires allow all
#        reply_header_access Host allow all
#        reply_header_access If-Modified-Since allow all
#        reply_header_access Last-Modified allow all
#        reply_header_access Location allow all
#        reply_header_access Pragma allow all
#        reply_header_access Accept allow all
#        reply_header_access Accept-Charset allow all
#        reply_header_access Accept-Encoding allow all
#        reply_header_access Accept-Language allow all
#        reply_header_access Content-Language allow all
#        reply_header_access Mime-Version allow all
#        reply_header_access Retry-After allow all
#        reply_header_access Title allow all
#        reply_header_access Connection allow all
#        reply_header_access All deny all
#
#    although the HTTP request headers won't be usefully controlled
#    by this directive -- see request_header_access for details.
#
#    By default, all headers are allowed (no anonymizing is
#    performed).
#Default:
# none

Ответить | Сообщить модератору

Ну народ пошёл Блин, совсем обленились в гугль транслейт сходить Давай я за теб, михалыч (ok), 18:00 , 30-Окт-13 (1)
Ну народ пошёл! Блин, совсем обленились в гугль транслейт сходить!
Давай я за тебя переведу.
#  TAG: request_header_access
#    Использование: request_header_access header_name allow|deny [!]aclname ...
#
#    ПРЕДУПРЕЖДЕНИЕ: Использование этой опции НАРУШАЕТ стандарт HTTP.
#    Включение этой функции может сделать вас ответственным за проблемы,
#    которые она вызывает.
#
#    Эта опция заменяет старую опцию 'anonymize_headers' и 'http_anonymizer'
#    чем-то, что гораздо более настраиваемо.
#    Этот новый метод создает список ACL для каждого заголовка, позволяя вам
#    очень тонко настраивать коверканье (изменение) заголовка.
#
#    Этот параметр применяется только для заголовков запроса, то есть от
#    клиента к серверу.
#
#    Можно указать только известные заголовки в названии заголовка.
#    Другие заголовки переводятся в категорию 'Other'. Вы можете также
#    сослаться сразу на все заголовки 'All'.
#
#    Например, чтобы добиться такого же поведения, как старой опцией
#    'http_anonymizer standard', вы должны использовать:
#
#        request_header_access From deny all
#        request_header_access Referer deny all
#        request_header_access Server deny all
#        request_header_access User-Agent deny all
#        request_header_access WWW-Authenticate deny all
#        request_header_access Link deny all
#
#    Или, чтобы воспроизвести старую функцию 'http_anonymizer paranoid'
#    вы должны использовать:
#
#        request_header_access Allow allow all
#        request_header_access Authorization allow all
#        request_header_access WWW-Authenticate allow all
#        request_header_access Proxy-Authorization allow all
#        request_header_access Proxy-Authenticate allow all
#        request_header_access Cache-Control allow all
#        request_header_access Content-Encoding allow all
#        request_header_access Content-Length allow all
#        request_header_access Content-Type allow all
#        request_header_access Date allow all
#        request_header_access Expires allow all
#        request_header_access Host allow all
#        request_header_access If-Modified-Since allow all
#        request_header_access Last-Modified allow all
#        request_header_access Location allow all
#        request_header_access Pragma allow all
#        request_header_access Accept allow all
#        request_header_access Accept-Charset allow all
#        request_header_access Accept-Encoding allow all
#        request_header_access Accept-Language allow all
#        request_header_access Content-Language allow all
#        request_header_access Mime-Version allow all
#        request_header_access Retry-After allow all
#        request_header_access Title allow all
#        request_header_access Connection allow all
#        request_header_access All deny all
#
#    хотя многие из них являются HTTP заголовками ответа, и, поэтому, должны
#    контролироваться директивой reply_header_access.
#
#    По умолчанию, все заголовки разрешены (выполняется
#    не анонимизация).
#По умолчанию:
# none
#  TAG: reply_header_access
#    Использование: reply_header_access header_name allow|deny [!]aclname ...
#
#    ПРЕДУПРЕЖДЕНИЕ: Использование этой опции НАРУШАЕТ стандарт HTTP.
#    Включение этой функции может сделать вас ответственным за проблемы,
#    которые она вызывает.
#
#    Эта опция применима только к заголовкам ответа, т. е. от сервера к клиенту.
#
#    Это то же самое, как request_header_access, но в другом направлении.
#
#    Эта опция заменяет старую опцию 'anonymize_headers' и 'http_anonymizer'
#    чем-то, что гораздо более настраиваемо.
#    Этот новый метод создает список ACL для каждого заголовка, позволяя вам
#    очень тонко настраивать коверканье (изменение) заголовка.
#
#    Можно указать только известные заголовки в названии заголовка.
#    Другие заголовки переводятся в категорию 'Other'. Вы можете также
#    сослаться сразу на все заголовки 'All'.
#
#    Например, чтобы добиться такого же поведения, как старой опцией
#    'http_anonymizer standard', вы должны использовать:
#
#        reply_header_access From deny all
#        reply_header_access Referer deny all
#        reply_header_access Server deny all
#        reply_header_access User-Agent deny all
#        reply_header_access WWW-Authenticate deny all
#        reply_header_access Link deny all
#
#    Или, чтобы воспроизвести старую функцию 'http_anonymizer paranoid'
#    вы должны использовать:
#
#        reply_header_access Allow allow all
#        reply_header_access Authorization allow all
#        reply_header_access WWW-Authenticate allow all
#        reply_header_access Proxy-Authorization allow all
#        reply_header_access Proxy-Authenticate allow all
#        reply_header_access Cache-Control allow all
#        reply_header_access Content-Encoding allow all
#        reply_header_access Content-Length allow all
#        reply_header_access Content-Type allow all
#        reply_header_access Date allow all
#        reply_header_access Expires allow all
#        reply_header_access Host allow all
#        reply_header_access If-Modified-Since allow all
#        reply_header_access Last-Modified allow all
#        reply_header_access Location allow all
#        reply_header_access Pragma allow all
#        reply_header_access Accept allow all
#        reply_header_access Accept-Charset allow all
#        reply_header_access Accept-Encoding allow all
#        reply_header_access Accept-Language allow all
#        reply_header_access Content-Language allow all
#        reply_header_access Mime-Version allow all
#        reply_header_access Retry-After allow all
#        reply_header_access Title allow all
#        reply_header_access Connection allow all
#        reply_header_access All deny all
#
#    хотя HTTP заголовки запроса не будут эффективно контролироваться
#    этой директивой -- см. request_header_access для деталей.
#
#    По умолчанию, все заголовки разрешены (выполняется
#    не анонимизация).
#По умолчанию:
# none
Теперь понятно?
Думаю, что для параноиков, этого будет вполне достаточно.
request_header_access All deny all
reply_header_access All deny all
сообщить модератору +/– ответить
forwarded_for, reader (ok), 21:59 , 30-Окт-13 (2)
forwarded_for
сообщить модератору +/– ответить

проблема с проксями..=(,

poople, (Другие proxy) 25-Окт-13, 11:54 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день.
Вопрос в следующем.
Каким образом можно блокировать сайты по URL, помимо прокси..пробывал сквид oops..не подходит..
Какие еше есть возможности блокировать???
Прошу вашей помощи((

Ответить | Сообщить модератору

Заноси в гос реестр вредоносных -- провайдер обязан будет отфильтровать , Andrey Mitrofanov (?), 13:46 , 25-Окт-13 (1)
> Каким образом можно блокировать сайты по URL, помимо прокси..пробывал сквид oops..не подходит..
Заноси в гос.реестр вредоносных -- провайдер обязан будет отфильтровать.
сообщить модератору +/– ответить

squid Изучать url_regexhttp wiki firstvds ru index php D0 A3 D1 81 D1 82 D0 , rusadmin (ok), 14:15 , 25-Окт-13 (2)
> Добрый день.
> Вопрос в следующем.
> Каким образом можно блокировать сайты по URL, помимо прокси..пробывал сквид oops..не подходит..
> Какие еше есть возможности блокировать???
> Прошу вашей помощи((
squid. Изучать url_regex
http://wiki.firstvds.ru/index.php/%D0%A3%D1&#...
сообщить модератору +/– ответить

CentOS 6.4 & Squid - ошибки запуска,

bsm, (Учет работы пользователей, логи) 23-Окт-13, 09:14 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте. Инсталлировал CentOS 6.4, squid-3.1.10-19.el6_4.i686. В squid.conf указано-


..
acl RootUser src "/etc/squid/squidblock/users/root.users"
acl Download_in_RootUsers src "/etc/squid/squidblock/users/download_allow.users"
acl BadUsers src "/etc/squid/squidblock/users/bad.users"
acl skype_users src "/etc/squid/squidblock/users/skype.users"
acl LocalNetwork src "/etc/squid/squidblock/users/local.users"
acl GPF_LocalNetwork src "/etc/squid/squidblock/users/local.gpf.users"
..

При запуске squid в логах вижу сообщение-


2013/10/22 20:21:20| strtokFile: /etc/squid/squidblock/users/root.users not found
2013/10/22 20:21:20| Warning: empty ACL: acl RootUser src "/etc/squid/squidblock/users/root.users"
2013/10/22 20:21:20| strtokFile: /etc/squid/squidblock/users/download_allow.users not found
2013/10/22 20:21:20| Warning: empty ACL: acl Download_in_RootUsers src "/etc/squid/squidblock/users/download_allow.users"
2013/10/22 20:21:20| strtokFile: /etc/squid/squidblock/users/bad.users not found
2013/10/22 20:21:20| Warning: empty ACL: acl BadUsers src "/etc/squid/squidblock/users/bad.users"
2013/10/22 20:21:20| strtokFile: /etc/squid/squidblock/users/skype.users not found
2013/10/22 20:21:20| Warning: empty ACL: acl skype_users src "/etc/squid/squidblock/users/skype.users"
2013/10/22 20:21:20| strtokFile: /etc/squid/squidblock/users/local.gpf.users not found
2013/10/22 20:21:20| Warning: empty ACL: acl GPF_LocalNetwork src "/etc/squid/squidblock/users/local.gpf.users"

Т.е. из шести файлов squid видет лишь один.
Листинг каталога squid-

/etc/squid/:
итого 648
-rw-r--r--. 1 root  squid    419 Окт  1 16:40 cachemgr.conf
-rw-r--r--. 1 root  root     419 Окт  1 16:40 cachemgr.conf.default
-rw-r--r--. 1 root  root    1547 Окт  1 16:40 errorpage.css
-rw-r--r--. 1 root  root    1547 Окт  1 16:40 errorpage.css.default
lrwxrwxrwx. 1 root  root      26 Окт 22 17:26 errors -> /usr/share/squid/errors/ru
lrwxrwxrwx. 1 root  root      10 Окт 22 17:26 hosts -> /etc/hosts
lrwxrwxrwx. 1 root  root      22 Окт 22 17:26 icons -> /usr/share/squid/icons
lrwxrwxrwx. 1 root  root      14 Окт 22 17:26 logs -> /var/log/squid
-rw-r--r--. 1 root  root   11651 Окт  1 16:40 mime.conf
-rw-r--r--. 1 root  root   11651 Окт  1 16:40 mime.conf.default
-rw-r--r--. 1 root  root     421 Окт  1 16:40 msntauth.conf
-rw-r--r--. 1 root  root     421 Окт  1 16:40 msntauth.conf.default
drwxr-xr-x. 3 squid squid   4096 Окт 22 09:26 squidblock
-rw-r--r--. 1 root  root  240460 Окт 22 20:13 squid.conf
-rw-r-----. 1 root  root  144210 Окт 17 07:52 squid.conf.asplinux-20131022
-rw-r--r--. 1 root  root    2510 Окт  1 16:40 squid.conf.default
lrwxrwxrwx. 1 root  root      49 Окт 22 17:29 squid.conf.documented -> /usr/share/doc/squid-3.1.10/squid.conf.documented
-rw-r--r--. 1 root  root  211021 Апр 26 14:50 squid.conf.documented-3.1.23
-rw-r--r--. 1 root  root    1381 Окт 22 20:22 test.notes

/etc/squid/squidblock:
итого 144
-rw-r--r--. 1 squid squid   216 Окт 17 07:45 always_direct.txt
-rw-r--r--. 1 squid squid  1296 Сен 24 12:57 anonimajzery.block.txt
-rw-r--r--. 1 squid squid   279 Окт 22 08:34 anonimajzery.unblock.txt
-rw-r--r--. 1 squid squid  9423 Сен 24 12:56 badlang.block.txt
-rw-r--r--. 1 squid squid   671 Окт 22 08:33 badlang.unblock.txt
-rw-r--r--. 1 squid squid 22840 Июл 17  2012 banners.acl
-rw-r--r--. 1 squid squid   327 Окт 22 08:33 diffservice.unblock.txt
-rw-r--r--. 1 squid squid   744 Апр 15  2013 entertain.block.txt
-rw-r--r--. 1 squid squid   185 Окт 22 08:32 entertain.unblock.txt
-rw-r--r--. 1 squid squid   636 Апр 15  2013 games.block.txt
-rw-r--r--. 1 squid squid    25 Окт 22 08:32 games.unblock.txt
-rw-r--r--. 1 squid squid   483 Окт 17 07:48 good_ips.txt
-rw-r--r--. 1 squid squid   311 Мар 20  2013 mail_ru.block.txt
-rw-r--r--. 1 squid squid   165 Авг 16 05:03 mp3.block.txt
-rw-r--r--. 1 squid squid    22 Окт 22 08:32 mp3.unblock.txt
-rw-r--r--. 1 squid squid  1115 Авг 16 06:11 pirate.block.txt
-rw-r--r--. 1 squid squid    97 Окт 22 08:31 pirate.unblock.txt
-rw-r--r--. 1 squid squid 13246 Авг 15 05:12 porn.block.txt
-rw-r--r--. 1 squid squid  1541 Окт 22 09:26 porn.unblock.txt
-rw-r--r--. 1 squid squid   173 Окт 22 08:31 pron.block.txt
drwxr-xr-x. 2 squid squid  4096 Окт 22 20:11 users

/etc/squid/squidblock/users:
итого 52
-rw-r--r--. 1 squid squid  997 Окт 22 18:29 bad.users
-rw-r--r--. 1 squid squid  336 Окт 22 18:29 download_allow.users
-rw-r--r--. 1 squid squid  501 Окт 22 18:29 local.gpf.users
-rw-r--r--. 1 squid squid 4805 Окт 22 18:55 local.users
-rw-r--r--. 1 squid squid  483 Окт 22 18:29 root.users
-rw-r--r--. 1 squid squid 1205 Окт 22 18:29 skype.users

Как устранить проблему?
Спасибо.

Ответить | Сообщить модератору

пустые строки в конце файла у всех есть попробуйте оставлять по одному файлу и п, reader (ok), 11:00 , 23-Окт-13 (1)
> Здравствуйте. Инсталлировал CentOS 6.4, squid-3.1.10-19.el6_4.i686. В squid.conf
> ..
> acl RootUser src "/etc/squid/squidblock/users/root.users"
> acl Download_in_RootUsers src "/etc/squid/squidblock/users/download_allow.users"
> acl BadUsers src "/etc/squid/squidblock/users/bad.users"
> acl skype_users src "/etc/squid/squidblock/users/skype.users"
> acl LocalNetwork src "/etc/squid/squidblock/users/local.users"
> acl GPF_LocalNetwork src "/etc/squid/squidblock/users/local.gpf.users"
пустые строки в конце файла у всех есть?
попробуйте оставлять по одному файлу и перезапускать.
увеличить уровень логирования
сообщить модератору +/– ответить

FreeBSD: squid (прозрачный) + wccp,

LoneFoxx, (Squid) 09-Окт-13, 16:56 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день форумчане!
Знаком с FreeBSD не так много как хотелось... НО нет больше сил терпеть и пытаться победить проблему.. и так начну:
Имеется сервак поднятый на с ip-адресом 172.16.0.9
    root@Squid:# uname -a
    FreeBSD Squid 9.1-RELEASE FreeBSD 9.1-RELEASE #0: Fri Jun  7 16:25:36 MSK 2013     root@squid:/usr/obj/usr/src/sys/MYKERNEL  amd64

Ядро собранное с опциями:
Код: Выделить всё
    options         IPFIREWALL               # сам файрвол
    options         IPFIREWALL_VERBOSE        # логгинг пакетов, если в правиле # написано `log`
    options         IPFIREWALL_FORWARD       # перенаправление (форвардинг) пакетов# например, для прозрачного прокси
    options         DUMMYNET                # если понадобится ограничивать скорость # инета пользователям (обычно - да)
    options         IPFIREWALL_DEFAULT_TO_ACCEPT     # дефолтовое правило (последнее)

в sysctl.conf

    net.inet.ip.fw.one_pass=0
    net.inet.tcp.rfc1323=0
    net.inet.icmp.icmplim=0
    net.inet.tcp.msl=3000
    kern.maxfilesperproc=65536
    kern.maxfiles=262144
    kern.ipc.maxsockets=131072
    kern.ipc.somaxconn=1024
    net.inet.tcp.recvspace=16384
    net.inet.tcp.sendspace=16384
    kern.ipc.nmbclusters=32768
    net.inet.ip.forwarding=1

в rc.conf прописано такое - 172.16.0.7 адрес моего устройства Cisco (Asa 5550) с кем сервер и соединяется для создания wccp :

    cloned_interfaces="gre0"
    ifconfig_gre0="inet 172.16.0.9 10.10.10.10 netmask 255.255.255.255  tunnel 172.16.0.9 172.16.0.7 link2 up"

ipfw такие правила

    00001 allow ip from any to any via lo0
    00002 deny ip from any to 127.0.0.0/8
    00003 deny ip from 127.0.0.0/8 to any
    00004 allow gre from any to any frag
    00200 fwd 172.16.0.9,3130 tcp from any to any dst-port 80 recv gre0
    65535 allow ip from any to any

и на конец настройки на ASA конкретно для wccp

    ciscoasa# sh run | include wccp
    access-list wccp-server extended permit ip host 172.16.0.9 any
    access-list wccp-traffic extended deny ip host 172.16.0.9 any
    access-list wccp-traffic extended permit ip host 172.16.0.154 any
    wccp web-cache redirect-list wccp-traffic group-list wccp-server
    wccp interface inside web-cache redirect in

теперь сам кольмар:

    root@Squid:/etc # squid -v
    Squid Cache: Version 3.3.9
    configure options:  '--with-default-user=squid' '--bindir=/usr/local/sbin' '--sbindir=/usr/local/sbin' '--datadir=/usr/local/etc/squid' '--libexecdir=/usr/local/libexec/squid' '--localstatedir=/var' '--sysconfdir=/usr/local/etc/squid' '--with-logdir=/var/log/squid' '--with-pidfile=/var/run/squid/squid.pid' '--with-swapdir=/var/squid/cache/squid' '--enable-auth' '--enable-build-info' '--enable-loadable-modules' '--enable-removal-policies=lru heap' '--disable-epoll' '--disable-linux-netfilter' '--disable-linux-tproxy' '--disable-translation' '--enable-auth-basic=DB MSNT MSNT-multi-domain NCSA PAM POP3 RADIUS  fake getpwnam' '--enable-auth-digest=file' '--enable-external-acl-helpers=file_userip time_quota unix_group SQL_session' '--enable-auth-negotiate=none' '--enable-auth-ntlm=fake smb_lm' '--enable-storeio=diskd rock ufs aufs' '--enable-disk-io=AIO Blocking DiskDaemon IpcIo Mmapped DiskThreads' '--enable-log-daemon-helpers=file' '--enable-url-rewrite-helpers=fake' '--disable-ipv6' '--enable-delay-pools' '--disable-snmp' '--enable-ssl' '--with-openssl=/usr/local' '--enable-ssl-crtd' '--enable-htcp' '--disable-forw-via-db' '--enable-cache-digests' '--enable-wccp' '--enable-wccpv2' '--disable-http-violations' '--disable-eui' '--enable-ipfw-transparent' '--disable-pf-transparent' '--disable-ipf-transparent' '--enable-follow-x-forwarded-for' '--enable-ecap' '--enable-icap-client' '--disable-esi' '--enable-kqueue' '--with-large-files' '--disable-optimizations' '--enable-debug-cbdata' '--prefix=/usr/local' '--mandir=/usr/local/man' '--infodir=/usr/local/info/' '--build=amd64-portbld-freebsd9.1' 'build_alias=amd64-portbld-freebsd9.1' 'CC=cc' 'CFLAGS=-pipe -I/usr/local/include -I/usr/local/include -g' 'LDFLAGS= -pthread -Wl,-rpath=/usr/local/lib -L/usr/local/lib -L/usr/local/lib' 'CPPFLAGS=' 'CXX=c++' 'CXXFLAGS=-pipe -I/usr/local/include -I/usr/local/include -g' 'CPP=cpp'

некоторые настройки из squid.conf

    acl localnet src 172.16.0.0/16
    http_access allow localnet
    http_access deny all
    #прозрачный порт для 80го порта (Http)
    http_port 172.16.0.9:3130 intercept
    #порт необходим для нормальной работы кольмара
    http_port 127.0.0.1:3128
    wccp2_router 172.16.0.7
    wccp2_forwarding_method gre
    wccp2_return_method gre
    wccp2_service standard 0

И так суть проблемы: при завороте на ASA пользователя на пример 172.16.0.154 то происходит зависание на минутку (в принципе логично пока не создатся маршрутизация на са и не пойдт пакеты по новому) и после начинает отрабатывать как положено всё. Счетчик ipfw растет
    00001     0       0 allow ip from any to any via lo0
    00002     0       0 deny ip from any to 127.0.0.0/8
    00003     0       0 deny ip from 127.0.0.0/8 to any
    00004    44    2112 allow gre from any to any frag
    00200   414  132913 fwd 172.16.0.9,3130 tcp from any to any dst-port 80 recv gre0

Но проблема в другом - если я заворачиваю не одного пользователя, а под сеть 172.16.1.0/24 то у всех пользователей странички интернет не открываются и вываливается сообщение от Squid Operation time out. В общем отваливаются странички по таймауту... я уже не знаю что делать и как победить проблему... Прошу помощи!!! :st: Нет сил, нет нервов...
При этом в access.log тишина - будто пользователь вообще не куда не пытался зайти....... HELP

Ответить | Сообщить модератору

А разве так можно Ну попробуйте только такhttp_port 3128 interceptили такhttp_po, михалыч (ok), 17:25 , 09-Окт-13 (1)
> http_port 172.16.0.9:3130 intercept
> http_port 127.0.0.1:3128
А разве так можно?
Ну попробуйте только так
http_port 3128 intercept
или так
http_port 3130 intercept
но не обе строки сразу
сообщить модератору +/– ответить

в версии 3 1 и выше для прозрачности необходимо что бы было http_port 3128 иначе, LoneFoxx (ok), 17:27 , 09-Окт-13 (2)
>> http_port 172.16.0.9:3130 intercept
>> http_port 127.0.0.1:3128
> А разве так можно?
> Ну попробуйте только так
> http_port 3128 intercept
> или так
> http_port 3130 intercept
> но не обе строки сразу
в версии 3.1 и выше для прозрачности необходимо что бы было http_port 3128 иначе сыпится с ошибками.
сообщить модератору +/– ответить

А вам принципиально порт 3130 использовать Попробуйте только порт 3128, ну и fwd, михалыч (ok), 17:31 , 09-Окт-13 (3)
>>> http_port 172.16.0.9:3130 intercept
>>> http_port 127.0.0.1:3128
>> А разве так можно?
>> Ну попробуйте только так
>> http_port 3128 intercept
>> или так
>> http_port 3130 intercept
>> но не обе строки сразу
> в версии 3.1 и выше для прозрачности необходимо что бы было http_port
> 3128 иначе сыпится с ошибками.
А вам принципиально порт 3130 использовать?
Попробуйте только порт 3128, ну и fwd на него разумеется.
сообщить модератору +/– ответить

gt оверквотинг удален без http_port 3129 в cache log сыпится 2013 10 09 17 , LoneFoxx (ok), 17:36 , 09-Окт-13 (4)
>[оверквотинг удален]
>>> А разве так можно?
>>> Ну попробуйте только так
>>> http_port 3128 intercept
>>> или так
>>> http_port 3130 intercept
>>> но не обе строки сразу
>> в версии 3.1 и выше для прозрачности необходимо что бы было http_port
>> 3128 иначе сыпится с ошибками.
> А вам принципиально порт 3130 использовать?
> Попробуйте только порт 3128, ну и fwd на него разумеется.
без http_port 3129 в cache.log сыпится:
2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
http_port 3129
http_port 172.16.0.9:3128 intercept
01200 166 16347 fwd 172.16.0.9,3128 tcp from not me to not me dst-port 80 recv gre0
так же как и было - счетчик растет пакетов - страницы по таймауту вылетают.
сообщить модератору +/– ответить

gt оверквотинг удален В логах что Строка http_port 3129 обязательна Без неё с, михалыч (ok), 17:40 , 09-Окт-13 (5)
>[оверквотинг удален]
>> Попробуйте только порт 3128, ну и fwd на него разумеется.
>  без http_port 3129  в cache.log сыпится:
>  2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
> http_port 3129
> http_port 172.16.0.9:3128 intercept
> 01200    166    16347 fwd 172.16.0.9,3128 tcp
> from not me to not me dst-port 80 recv gre0
> так же как и было - счетчик растет пакетов - страницы по
> таймауту вылетают.
В логах что?
Строка http_port 3129 обязательна? Без неё сквид запускается?
сообщить модератору +/– ответить

gt оверквотинг удален в access log пустота - от пользователя не было запроса б, LoneFoxx (ok), 17:46 , 09-Окт-13 (6)
>[оверквотинг удален]
>> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
>> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
>> http_port 3129
>> http_port 172.16.0.9:3128 intercept
>> 01200 166 16347 fwd 172.16.0.9,3128 tcp
>> from not me to not me dst-port 80 recv gre0
>> так же как и было - счетчик растет пакетов - страницы по
>> таймауту вылетают.
> В логах что?
> Строка http_port 3129 обязательна? Без неё сквид запускается?
в access.log пустота - от пользователя не было запроса будто бы.
с версии 3.1 строка http_port 3128 (не важно какой порт) стала обязательной при конфигурации прозрачного прокси. иначе в логах постоянно гадит
2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
а запускаться запускается, он вот результат тот же....
сообщить модератору +/– ответить

gt оверквотинг удален это выглядит сомнительно fwd 172 16 0 9,3128 tcp from no, михалыч (ok), 17:52 , 09-Окт-13 (7)
>[оверквотинг удален]
>>> так же как и было - счетчик растет пакетов - страницы по
>>> таймауту вылетают.
>> В логах что?
>> Строка http_port 3129 обязательна? Без неё сквид запускается?
> в access.log пустота - от пользователя не было запроса будто бы.
> с версии 3.1 строка http_port 3128 (не важно какой порт) стала обязательной
> при конфигурации прозрачного прокси. иначе в логах постоянно гадит
> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
> а запускаться запускается, он вот результат тот же....
это выглядит сомнительно fwd 172.16.0.9,3128 tcp from not me to not me dst-port 80 recv gre0
лучше так fwd 172.16.0.9,3128 tcp from 172.16.0.0/16 to not me 80
пакеты gre не проскакивают? mtu на сервере понизить?
посмотрите ещё здесь http://www.opennet.dev/openforum/vsluhforumID12/4724.html
сообщить модератору +/– ответить

gt оверквотинг удален пакеты по правилу что я добавляю в том числе и ваше хо, LoneFoxx (ok), 19:03 , 09-Окт-13 (8)
>[оверквотинг удален]
>> с версии 3.1 строка http_port 3128 (не важно какой порт) стала обязательной
>> при конфигурации прозрачного прокси. иначе в логах постоянно гадит
>> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
>> 2013/10/09 17:36:33 kid1| ERROR: No forward-proxy ports configured.
>> а запускаться запускается, он вот результат тот же....
> это выглядит сомнительно fwd 172.16.0.9,3128 tcp from not me to not me
> dst-port 80 recv gre0
> лучше так fwd 172.16.0.9,3128 tcp from 172.16.0.0/16 to not me 80
> пакеты gre не проскакивают? mtu на сервере понизить?
> посмотрите ещё здесь http://www.opennet.dev/openforum/vsluhforumID12/4724.html
пакеты по правилу что я добавляю (в том числе и ваше) ходят счетчик растет но страницы не открываются, отваливаются по таймауту.
c правилом что Вы сказали - результат тот же.. Про mtu стоит 1500
сообщить модератору +/– ответить

gt оверквотинг удален Шайтан, однако Ну, послушайте tcpdump -i gre0Пакеты туда, михалыч (ok), 07:22 , 10-Окт-13 (9)
>[оверквотинг удален]
>>> а запускаться запускается, он вот результат тот же....
>> это выглядит сомнительно fwd 172.16.0.9,3128 tcp from not me to not me
>> dst-port 80 recv gre0
>> лучше так fwd 172.16.0.9,3128 tcp from 172.16.0.0/16 to not me 80
>> пакеты gre не проскакивают? mtu на сервере понизить?
>> посмотрите ещё здесь http://www.opennet.dev/openforum/vsluhforumID12/4724.html
> пакеты по правилу что я добавляю (в том числе и ваше) ходят
> счетчик растет но страницы не открываются, отваливаются по таймауту.
> c правилом что Вы сказали - результат тот же.. Про mtu
> стоит 1500
Шайтан, однако.
Ну, послушайте tcpdump -i gre0
Пакеты туда-сюда бегают? Или сюда-туда?
сообщить модератору +/– ответить

gt оверквотинг удален пакеты и запросы только от пользователей направленные ci, LoneFoxx (ok), 08:32 , 10-Окт-13 (10)
>[оверквотинг удален]
>>> лучше так fwd 172.16.0.9,3128 tcp from 172.16.0.0/16 to not me 80
>>> пакеты gre не проскакивают? mtu на сервере понизить?
>>> посмотрите ещё здесь http://www.opennet.dev/openforum/vsluhforumID12/4724.html
>> пакеты по правилу что я добавляю (в том числе и ваше) ходят
>> счетчик растет но страницы не открываются, отваливаются по таймауту.
>> c правилом что Вы сказали - результат тот же.. Про mtu
>> стоит 1500
> Шайтан, однако.
> Ну, послушайте tcpdump -i gre0
> Пакеты туда-сюда бегают? Или сюда-туда?
пакеты и запросы только от пользователей направленные cisco. От прокси не каких......

сообщить модератору +/– ответить

gt оверквотинг удален root Squid tcpdump -i gre0tcpdump verbose output su, LoneFoxx (ok), 10:45 , 10-Окт-13 (11)
>[оверквотинг удален]
>>>> пакеты gre не проскакивают? mtu на сервере понизить?
>>>> посмотрите ещё здесь http://www.opennet.dev/openforum/vsluhforumID12/4724.html
>>> пакеты по правилу что я добавляю (в том числе и ваше) ходят
>>> счетчик растет но страницы не открываются, отваливаются по таймауту.
>>> c правилом что Вы сказали - результат тот же.. Про mtu
>>> стоит 1500
>> Шайтан, однако.
>> Ну, послушайте tcpdump -i gre0
>> Пакеты туда-сюда бегают? Или сюда-туда?
> пакеты и запросы только от пользователей направленные cisco. От прокси не каких......
root@Squid:/ # tcpdump -i gre0
tcpdump: verbose output suppressed, use -v or -vv for full protocol decode
listening on gre0, link-type NULL (BSD loopback), capture size 65535 bytes
10:40:43.916786 IP 172.16.0.154.60980 > opennet.ru.http: Flags [P.], seq 3900111775:3900112268, ack 1519792743, win 63582,
10:40:43.975042 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 1517, win 64240, length 0
10:40:43.976111 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 2984, win 64240, length 0
10:40:43.980339 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 5672, win 64240, length 0
10:40:43.982381 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 7139, win 64240, length 0
10:40:43.984340 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 9789, win 64240, length 0
10:40:43.985869 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 12445, win 64240, length 0
10:40:43.986544 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 13906, win 64240, length 0
10:40:43.987397 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 15373, win 64240, length 0
10:40:44.016198 IP 172.16.0.154.60975 > opennet.ru.http: Flags [P.], seq 3675161970:3675162432, ack 3512929227, win 63672,
10:40:44.016967 IP 172.16.0.154.60976 > opennet.ru.http: Flags [P.], seq 1753389993:1753390471, ack 4059398955, win 62809,
10:40:44.017068 IP 172.16.0.154.60979 > opennet.ru.http: Flags [P.], seq 4193142386:4193142862, ack 2531488649, win 63672,
10:40:44.026184 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 18023, win 64240, length 0
10:40:44.029762 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 19490, win 64240, length 0
10:40:44.031895 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 22416, win 64240, length 0
10:40:44.033103 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 23883, win 64240, length 0
10:40:44.039464 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 26809, win 64240, length 0
10:40:44.041044 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 28276, win 64240, length 0
10:40:44.043069 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 31202, win 64240, length 0
10:40:44.044711 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 32669, win 64240, length 0
10:40:44.080885 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 35595, win 64240, length 0
10:40:44.082170 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 37062, win 64240, length 0
10:40:44.086345 IP 172.16.0.154.60980 > opennet.ru.http: Flags [.], ack 39988, win 64240, length 0
сообщить модератору +/– ответить

Установить в squid conf Full debugging level 9 debug_options ALL,9, михалыч (ok), 13:27 , 10-Окт-13 (12)
Установить в squid.conf Full debugging (level 9)
debug_options ALL,9
сообщить модератору +/– ответить
Добрый день, и так нашел я вроде бы причину всё описанное выше правда и всё это, LoneFoxx (ok), 00:36 , 12-Окт-13 (13)
> Установить в squid.conf Full debugging (level 9)
> debug_options ALL,9
Добрый день, и так нашел я вроде бы причину. всё описанное выше правда и всё это работает правильно, но....на одной промежуточной cisco стояло ограничение в количестве соединений и моя freebsd просто убивалась в этот предел - команда выглядит что то вроде ip nat translation max-(что то там) 200! то есть 200 соединений максимум на хост поэтому при завороте подсети ничего не открывалось. Спасибо всем!)
сообщить модератору +/– ответить

контроль доступа на основании доменных групп,

nops, (Squid) 05-Фев-13, 07:48 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго всем времени суток.
Сразу к вопросу.

Имеем сервер на FreeBSD, стоит ipfw+pf(не спрашивайте почему такая связка, очень удобно, во всяком случае мне нравится очень), но проблема не в этом.

На борту стоит squid+ntlm+basic аутентификация пользователей из домена(Active Directory). Так же поставил SAMS.
У меня руками прописаны списки запрещенных сайтов и 3 группы пользователей.
Группы пользователей: InetUs, InetVIP, InetFull
Списки запрета доступа: Access.Denied и еще один список, которые разрешает только некоторые сайта из списка запрещенных для определенной группы.
Итак, InetUs - Запрещены все сайты из списка
InetVIP - запрещены все сайта из списка запрещенных, но разрешены некоторые из этого же списка
InetFull - разрешено все.
В Active Directory пользователям назначены группы в зависимости от их разрешений. Из домена авторизация проходит, с SAMS-ом почти разобрался(ну не люблю я подобные вещи, которые работают неизвестно для меня как)
В общем все вроде как работает, юзеры ходят, авторизация и по ntlm и по basic, списки запрета работают.

И вот тут руководство ставит задачу: Нужно, чтобы squid автоматически подтягивал пользователей и записывал в нужную группы на проксе. Т.е. создаем мы нового пользователя в домене, добавляем скажем в группу InetUs и он сразу автоматом появляется в списке юзеров на прокси-сервере. Так же, нужно скажем перенести юзера из одной группы(InetUs) в другую группу(InetVip) и надо чтобы все изменения на проксе произошли автоматом.
Теперь подскажите пожалуйста, возможно ли такое или нет?
P.S. Руководство виндузятники, поэтому им сложно объяснить невозможность и я на всякий случай решил поинтересоваться у гуру. Я конечно понимаю, что с костылями и горой скриптов это вохможно, но это не вариант и я понимаю что почти стандартными средствами это не возможно.

Подскажите пожалуйста, очень жду совета гуру.

Ответить | Сообщить модератору

Глянь вот эту статейку http macrodmin blogspot ru 2012 07 squid-active-directo, porcha (ok), 08:18 , 05-Фев-13 (1)
Глянь вот эту статейку http://macrodmin.blogspot.ru/2012/07/squid-active-directory.... возможно я ошибаюсь,но тебе что-то типо такого и нужно.
Если я правильно понял,то ты хочешь чтоб все изменения по по уровню доступа юзеров происходили путем перемещения их из одной группы в другую в AD?
сообщить модератору +/– ответить

Да, похоже Правила я напишу в сквиде, у меня была проблема только автоматом авт, nops (ok), 12:23 , 05-Фев-13 (2)
> Глянь вот эту статейку http://macrodmin.blogspot.ru/2012/07/squid-active-directory....
> возможно я ошибаюсь,но тебе что-то типо такого и нужно.
> Если я правильно понял,то ты хочешь чтоб все изменения по по уровню
> доступа юзеров происходили путем перемещения их из одной группы в другую
> в AD?
Да, похоже. Правила я напишу в сквиде, у меня была проблема только автоматом авторизоваться NT-группам, но судя по статье:
acl Full external nt_group Internet_Full
acl Medium external nt_group Internet_Medium
acl Low external nt_group Internet_Low
тег nt_group работает как определение группы, которой принадлежит пользователь.

Попробую обязательно. Сейчас встречный еще один вопрос, а если групп несколько, то как он не перепутается в списке этих групп?
сообщить модератору +/– ответить

Все просто, пользователь может занимать только одну группу, т к авторизация буд, porcha (ok), 12:45 , 05-Фев-13 (3)
> Попробую обязательно. Сейчас встречный еще один вопрос, а если групп несколько, то
> как он не перепутается в списке этих групп?
Все просто, пользователь может занимать только одну группу, т.к. авторизация будет проходить на AD. Squid будет лишь сопоставлять пользователя и группу.
Пробуйте удачи!
сообщить модератору +/– ответить

Немного не понял Вот допустим у пользователя есть несколько групп, в которые он , nops (ok), 08:28 , 06-Фев-13 (4)
>> Попробую обязательно. Сейчас встречный еще один вопрос, а если групп несколько, то
>> как он не перепутается в списке этих групп?
> Все просто, пользователь может занимать только одну группу, т.к. авторизация будет проходить
> на AD. Squid будет лишь сопоставлять пользователя и группу.
> Пробуйте удачи!
Немного не понял.
Вот допустим у пользователя есть несколько групп, в которые он входит, т.к. работает на несколько отделов, скажем:
1. Отдел дизайн
2. Отдел клеинта1
3. Креативщик
4. InetUs
Получается, что этот пользователь состоит в 4-х группах. Как тут быть?!
сообщить модератору +/– ответить

Создай в домене отдельные группы непосредственно для интернетов и помести туда с, porcha (ok), 08:59 , 06-Фев-13 (5)
> Немного не понял.
> Вот допустим у пользователя есть несколько групп, в которые он входит, т.к.
> работает на несколько отделов, скажем:
> 1. Отдел дизайн
> 2. Отдел клеинта1
> 3. Креативщик
> 4. InetUs
> Получается, что этот пользователь состоит в 4-х группах. Как тут быть?!
Создай в домене отдельные группы непосредственно для интернетов и помести туда сотрудников в зависимости от их потребности в интернетах. Думаю не стоит привязывать существующие группы.
сообщить модератору +/– ответить

gt оверквотинг удален Да, у меня именно так и сдалено Созданы 3 доп группы I, nops (ok), 07:37 , 07-Фев-13 (6)
>[оверквотинг удален]
>> Вот допустим у пользователя есть несколько групп, в которые он входит, т.к.
>> работает на несколько отделов, скажем:
>> 1. Отдел дизайн
>> 2. Отдел клеинта1
>> 3. Креативщик
>> 4. InetUs
>> Получается, что этот пользователь состоит в 4-х группах. Как тут быть?!
> Создай в домене отдельные группы непосредственно для интернетов и помести туда сотрудников
> в зависимости от их потребности в интернетах. Думаю не стоит привязывать
> существующие группы.
Да, у меня именно так и сдалено. Созданы 3 доп группы: InetUs, InetVIP, InetFull, соответственно с определенными разрешениями для каждой из груп: запрещено все лишнее, частично разрешено личное и все разрешено соответственно.
Каждому из пользователей добавлена одна из групп в зависимости от политики доступа к ресурсам. У меня вопрос в другом, не будет ли конфликтов, если у пользователя несколько групп? Или работает так: Юзает пользователь инет, прокси считывает из домена его группы и перебирает, доходит до первой и проверяет, подпадает ли она под правила или нет, если не находит, то ищет следующую группу. Так?
сообщить модератору +/– ответить

Итак Всем доброго здравия Звучал вопрос, в одном из сообщений, как у меня успехи, nops (ok), 07:51 , 08-Фев-13 (7)
Итак!
Всем доброго здравия.
Звучал вопрос, в одном из сообщений, как у меня успехи с моей задачей, вот я готов написать.
Заработало, что я могу сказать.

В Active Directory:
Созданы 3 дополнительные группы:
InetUs - нельзя запрещенные
InetVIP - нельзя запрещенные, кроме небольшого списка разрешенных
InetFull - Можно все.
На FreeBSD сделано следующее:
Ну естественно поднята самба, настроен керберос и конечно же сквид. Описывать полностью конфиги не буду, не к чему, все прекрасно понимают и знают что там написать, а те кто не знают, курите маны или читайте статьи, их полно и все на русском.
В squid.conf были удалены все acl-ы и добавлены следующие:
# Авторизация в домене по NTLM и Basic для тех, что не смог авторизоваться по ntlm, так происходит.
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 150
auth_param ntlm keep_alive on
auth_param basic program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 50
auth_param basic realm DeltaPlans's Squid Beast
auth_param basic credentialsttl 8 hours
auth_param basic casesensitive off
..........
# Описываю acl-ы, комментарии излишни, итак все понятно
acl _acl_Access_Denied url_regex -i "/usr/local/etc/squid/regulations/Access.Denied"
acl _acl_Access_Allow_VIP url_regex -i "/usr/local/etc/squid/regulations/Access.Allow.VIP"
acl _sams_local_ip dst "/usr/local/etc/squid/local_ip.sams"
# Получаем группы из AD
external_acl_type nt_group %LOGIN /usr/local/libexec/squid/wbinfo_group.pl
# Описываю acl-ы для групп
acl Full external nt_group InetFull
acl Medium external nt_group InetVIP
acl Low external nt_group InetUs
...........
acl nt_group proxy_auth REQUIRED
...........
# Описываю доступы и запреты групп AD по спискам сайтов
http_access deny Low _acl_Access_Denied
http_access allow Medium _acl_Access_Allow_VIP
http_access deny Medium _acl_Access_Denied
http_access allow Low
http_access allow Medium
http_access allow Full
http_access allow localnet
http_access deny !Safe_ports
...........
Далее все стандартно.
После этого /usr/local/etc/rc.d/squid reload и проверяем, Все работает.
сообщить модератору +/– ответить

acl для групп,

gsi0, (ACL, блокировки) 20-Сен-13, 12:19 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Люди, уже голову всю сломал. Подскажите, пожалуйста.
Сервер squid работает с аутентификацией kerberos и авторизацией по группам с помощью хелпера squid_ldap_group (тест squid_ldap_group) проходит удачно и видно подтверждение того, что пользователи находятся в своих группах.
acl у меня такие:
acl OFFICE external ldap_verify Access_Proxy_ftl_OFFICE
acl VIP external ldap_verify Access_Proxy_ftl_VIP
acl media url_regex "/etc/squid/deny_flash.conf"
acl allusers proxy_auth REQUIRED
http_access allow VIP
http_access allow media OFFICE
http_access deny !allusers all
Что хочу получиьт в итоге: acl VIP доступен весь интернет без ограничений.
acl OFFICE должен быть заблокирован доступ к flash контенту.
Файлик: /etc/squid/deny_flash.conf
acl media rep_mime_type video/flv video/x-flv
acl mediapr urlpath_regex \.flv(\?.*)?$
acl media rep_mime_type application/x-shockwave-flash
acl mediapr urlpath_regex \.swf(\?.*)?$
acl mimeblock rep_mime_type -i ^video
acl mimeblock rep_mime_type -i ^audio
#http_access deny mediapr
#http_reply_access deny media
C acl, приведенными сверху, группа VIP работает отлично.
А с acl OFFICE, пользователям из группы OFFICE вообще ничего не доступно: обращаясь на любой веб-сайт, получаю страницу squid: Доступ запрещен. И так абсолютно везде.
Если просто заинклюдить(include) файл deny_flash.conf в конфиг squid, то flash блокируется как и положено, но для всех. А мне нужно только для группы OFFICE. Помогите, пожалуйста.

Ответить | Сообщить модератору

http_access allow media OFFICEНе , Аноним (-), 14:01 , 20-Сен-13 (1)
http_access allow !media OFFICE
Не ?
сообщить модератору +/– ответить

gt оверквотинг удален Народ, откликнитесь, прошу Уже и ни спать не могу, ни е, gsi0 (ok), 15:19 , 20-Сен-13 (3)
>[оверквотинг удален]
> acl mimeblock rep_mime_type -i ^audio
> #http_access deny mediapr
> #http_reply_access deny media
> C acl, приведенными сверху, группа VIP работает отлично.
> А с acl OFFICE, пользователям из группы OFFICE вообще ничего не доступно:
> обращаясь на любой веб-сайт, получаю страницу squid: Доступ запрещен. И так
> абсолютно везде.
> Если просто заинклюдить(include) файл deny_flash.conf в конфиг squid, то flash блокируется
> как и положено, но для всех. А мне нужно только для
> группы OFFICE. Помогите, пожалуйста.
Народ, откликнитесь, прошу. Уже и ни спать не могу, ни есть. С работы уволят, трое детей дома голодных =( =)
сообщить модератору +/– ответить
У вас и не будет работать интернет не для VIP Для начала неправильно в этом мест, alexpaknix (ok), 09:53 , 02-Окт-13 (8)
У вас и не будет работать интернет не для VIP.
Для начала неправильно в этом месте
> acl media url_regex "/etc/squid/deny_flash.conf"
> Файлик: /etc/squid/deny_flash.conf
> acl media rep_mime_type video/flv video/x-flv
> acl mediapr urlpath_regex \.flv(\?.*)?$
> acl media rep_mime_type application/x-shockwave-flash
> acl mediapr urlpath_regex \.swf(\?.*)?$
> acl mimeblock rep_mime_type -i ^video
> acl mimeblock rep_mime_type -i ^audio
прочтите логи там 100% ругается на эту конструкцию.
Вынесите из файла в основной конфиг и сделайте примерно так:
acl allusers proxy_auth REQUIRED
http_access allow VIP
http_access deny media
http_access deny mediarp
http_access deny mimeblock
http_access allow OFFICE
http_access deny all
Попутно прочтите
http://www.squid-cache.org/Doc/config/acl/
http://www.squid-cache.org/Doc/config/http_access/
сообщить модератору +/– ответить

Squid не блокирует IP адрес,

Wlesik, (ACL, блокировки) 16-Сен-13, 19:11 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Здравствуйте. Который день бьюсь с проблемой и не могу решить. Пытаюсь с помощью сквида заблокировать доступ определенному IP адресу и не получается, чтобы я не пробовал.
Версия Squid 2.7 (Windows)
Режим - transparent
Блокируемый IP - 192.168.8.129
Вот конфиг:
acl all src 0.0.0.0/0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
acl bad_ip src 192.168.8.129
acl our_networks src 192.168.8.50-192.168.8.240

http_access deny bad_ip
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow manager localhost
http_access deny manager
http_access allow our_networks
http_access allow localhost
http_reply_access allow all
http_access deny all
В чем проблема не подскажете? Заранее спасибо.

Ответить | Сообщить модератору

Запросы от него _в _логе _сквида есть Сервис перезапускал после изменения конфиг, Andrey Mitrofanov (?), 20:13 , 16-Сен-13 (1)
> В чем проблема не подскажете? Заранее спасибо.
Запросы от него _в _логе _сквида есть?
Сервис перезапускал после изменения конфига?
Сервис _точно запускается с этим конфигом?
сообщить модератору +/– ответить

Спасибо за отклик Сервис перезапускал каждый раз после изменения конфига перез, Wlesik (ok), 14:27 , 17-Сен-13 (2)
> Запросы от него _в _логе _сквида есть?
> Сервис перезапускал после изменения конфига?
> Сервис _точно запускается с этим конфигом?
Спасибо за отклик) Сервис перезапускал (каждый раз после изменения конфига перезапускаю). Точно этот конфиг - он единственный и любая ошибка в нем не дает запустить службу.
А вот ваш первый вопрос очень помог. Я проверил лог и увидел следующее: все запросы идут от одного IP. Я настроил Сквид через маршрутизатор (iptables), чтобы фильтровать клиентов, как по проводу, так и по WI-FI. Именно IP маршрутизатора в логе сквида. Как сделать так, чтобы я мог управлять клиентами через сквид в моей ситуации, не подскажете?
сообщить модератору +/– ответить

gt оверквотинг удален Все проблема решилась , Wlesik (ok), 15:34 , 28-Сен-13 (3)
>[оверквотинг удален]
>> Сервис перезапускал после изменения конфига?
>> Сервис _точно запускается с этим конфигом?
> Спасибо за отклик) Сервис перезапускал (каждый раз после изменения конфига перезапускаю).
> Точно этот конфиг - он единственный и любая ошибка в нем
> не дает запустить службу.
> А вот ваш первый вопрос очень помог. Я проверил лог и увидел
> следующее: все запросы идут от одного IP. Я настроил Сквид через
> маршрутизатор (iptables), чтобы фильтровать клиентов, как по проводу, так и по
> WI-FI. Именно IP маршрутизатора в логе сквида. Как сделать так, чтобы
> я мог управлять клиентами через сквид в моей ситуации, не подскажете?
Все проблема решилась!

сообщить модератору +/– ответить

запрос логин/пароля для тех, кто не в домене.,

gsi0, (Аутентификация) 24-Сен-13, 13:14 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Салют. Сейчас squid настроил таким оразом, что все пользователи в домене аутентифицируются с помощью kerberos и с помощью squid_ldap_group получают свой разграниченный долбанный интернет.
Но, остался вопрос. Для тех, кто не в домене, можно ли выдавать запрос логина/пароля, после ввода которого пользователь (входящий в соответствующую группу) получал свой долбанно-разграниченный интернет?
Предполагаю, что нужно использовать ntlm-авторизацию, но где-то тут читал, что сквид использует первую попавшуюся ему схему авторизации. Может можно в существующий конфиг добавить какую-то строчку, чтобы запросило логин и пароль для пользователя? (Хотя из мира фантастики чето).

Ответить | Сообщить модератору

если в конце есть правило запрещающее интернет, то запрос пароля будет выскакива, name (??), 17:33 , 24-Сен-13 (1)
если в конце есть правило запрещающее интернет, то запрос пароля будет выскакивать у всех, кто сразу не передал пароль. В домене всегда сначала передаются ntlm-параметры, и пароль не запрашивается если авторизация проходит нормально.
сообщить модератору +/– ответить

То-есть Вы предлагаете сделать еще одну схему аутентификации по ntlm , gsi0 (ok), 17:44 , 24-Сен-13 (2)
> если в конце есть правило запрещающее интернет, то запрос пароля будет выскакивать
> у всех, кто сразу не передал пароль. В домене всегда сначала
> передаются ntlm-параметры, и пароль не запрашивается если авторизация проходит нормально.
То-есть Вы предлагаете сделать еще одну схему аутентификации по ntlm ?
сообщить модератору +/– ответить

Нет, name (??), 23:35 , 24-Сен-13 (3)
> То-есть Вы предлагаете сделать еще одну схему аутентификации по ntlm ?
Нет
сообщить модератору +/– ответить

Так все таки ntlm или нет Прочтите, пожалуйста, внимательно, что аутентификация, gsi0 (ok), 09:43 , 25-Сен-13 (5)
>> То-есть Вы предлагаете сделать еще одну схему аутентификации по ntlm ?
> Нет
> Нативно использовать ntlm авторизацию. В конце правил проверки учетных данных по basic схеме
Так все таки ntlm или нет? Прочтите, пожалуйста, внимательно, что аутентификация идет по kerberos, ntlm вовсе не пахнет.
Еще Вы говорите про строчку запрещающую интернет. Такая строчка есть, но логина и пароля squid не запрашивает.
Если все таки делать еще одну, нативную ntlm аутентификацию, то как потом рулиьт группами? Опять добавлять хелпер squid_ldap_group ?
сообщить модератору +/– ответить

Нативно использовать ntlm авторизацию В конце правил проверки учетных данных по, rusadmin (ok), 07:44 , 25-Сен-13 (4)
> Салют. Сейчас squid настроил таким оразом, что все пользователи в домене аутентифицируются
> с помощью kerberos и с помощью squid_ldap_group получают свой разграниченный долбанный
> интернет.
> Но, остался вопрос. Для тех, кто не в домене, можно ли выдавать
> запрос логина/пароля, после ввода которого пользователь (входящий в соответствующую группу)
> получал свой долбанно-разграниченный интернет?
> Предполагаю, что нужно использовать ntlm-авторизацию, но где-то тут читал, что сквид использует
> первую попавшуюся ему схему авторизации. Может можно в существующий конфиг добавить
> какую-то строчку, чтобы запросило логин и пароль для пользователя? (Хотя из
> мира фантастики чето).
Нативно использовать ntlm авторизацию. В конце правил проверки учетных данных по basic схеме
сообщить модератору +/– ответить

Squid+Kerberos Авторизация только для лог-файла,

sgrv, (Аутентификация) 31-Июл-12, 21:00 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Стоит задача прозрачно авторизовать пользователей в домене. Но только для того чтобы в лог падал имя пользователя.
При этом не доменные пользователи должны работать без авторизации.
Так вот если аксес лист первым идет с авторизацией а второй для подсетки, то не доменным пользователям вываливается окно с запросом логина и пароля.
А если наоборот то в лог не падает имя пользователя.
Прописывать до авторизации пользователей IP адреса машин не в домене тоже не подходит, ибо они могут меняться.
Может кто знает как выйти из ситуации?

Ответить | Сообщить модератору

попробуй поставить на прокси режим транспарент , те кто не в домене ручками проп, Ринат Киреев (?), 10:32 , 01-Авг-12 (1)
> Стоит задача прозрачно авторизовать пользователей в домене. Но только для того чтобы
> в лог падал имя пользователя.
> При этом не доменные пользователи должны работать без авторизации.
> Так вот если аксес лист первым идет с авторизацией а второй для
> подсетки, то не доменным пользователям вываливается окно с запросом логина и
> пароля.
> А если наоборот то в лог не падает имя пользователя.
> Прописывать до авторизации пользователей IP адреса машин не в домене тоже не
> подходит, ибо они могут меняться.
> Может кто знает как выйти из ситуации?
попробуй поставить на прокси режим транспарент , те кто не в домене ручками прописывай шлюз(там еще ИП таблес нужно будет чуть чуть подкрутить), а те кто в АД скриптом в прокси сервер на стандартный порт ... и будет тебе счастье )
сообщить модератору +/– ответить

Что у вас за acl такой Мне как раз нужно, чтобы не доменным пользователям вывал, gsi0 (ok), 14:12 , 24-Сен-13 (3)
> Стоит задача прозрачно авторизовать пользователей в домене. Но только для того чтобы
> в лог падал имя пользователя.
> При этом не доменные пользователи должны работать без авторизации.
> Так вот если аксес лист первым идет с авторизацией а второй для
> подсетки, то не доменным пользователям вываливается окно с запросом логина и
> пароля.
> А если наоборот то в лог не падает имя пользователя.
> Прописывать до авторизации пользователей IP адреса машин не в домене тоже не
> подходит, ибо они могут меняться.
> Может кто знает как выйти из ситуации?
Что у вас за acl такой? Мне как раз нужно, чтобы не доменным пользователям вываливалось окно с логином и паролем.
сообщить модератору +/– ответить

Squid доступ по MAC-у и авторизация по IP,

ValGord, (Аутентификация) 26-Авг-11, 08:40 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день, есть сервер на Ubuntu 10.10 на нем Squid с ncsa авторизацией + Sams. Теперь надо добавить проверку по MAC-ам без привязки MAC-а к логину или IP, подскажите как прикрутить к Squid-овскому конфигу файл с собсно MAC-ами (их чуть более пятисот)
P.S. Заранее извиняюсь за возможно глупый вопрос но помощь очень нужна ибо с Линуксом только начал дружить.

Ответить | Сообщить модератору

acl umacs arp etc squid my users macs и перед всеми остальными http_accesshttp, Andrey Mitrofanov (?), 09:38 , 26-Авг-11 (1)
> Добрый день, есть сервер на Ubuntu 10.10 на нем Squid с ncsa
> авторизацией + Sams. Теперь надо добавить проверку по MAC-ам без привязки
> MAC-а к логину или IP, подскажите как прикрутить к Squid-овскому конфигу
> файл с собсно MAC-ами (их чуть более пятисот)
> P.S. Заранее извиняюсь за возможно глупый вопрос но помощь очень нужна ибо
> с Линуксом только начал дружить.
acl umacs arp /etc/squid/my.users.macs
и перед всеми остальными http_access
http_access deny !umacs
В файле -- посторочно маки.
сообщить модератору +/– ответить

Огромное Спасибо , ValGord (?), 10:23 , 26-Авг-11 (2)
>> Добрый день, есть сервер на Ubuntu 10.10 на нем Squid с ncsa
>> авторизацией + Sams. Теперь надо добавить проверку по MAC-ам без привязки
>> MAC-а к логину или IP, подскажите как прикрутить к Squid-овскому конфигу
>> файл с собсно MAC-ами (их чуть более пятисот)
>> P.S. Заранее извиняюсь за возможно глупый вопрос но помощь очень нужна ибо
>> с Линуксом только начал дружить.
> acl umacs arp /etc/squid/my.users.macs
> и перед всеми остальными http_access
> http_access deny !umacs
> В файле -- посторочно маки.
Огромное Спасибо!!
сообщить модератору +/– ответить

хм руководство переиграло, теперь надо снести авторизацию по лого пасу и оста, ValGord (?), 11:14 , 31-Авг-11 (3)
хм... руководство переиграло, теперь надо снести авторизацию по лого пасу и оставить только доступ по mac-у, переписал конфиг вот так (что не понял не стал трогать):
http_port 3128
hierarchy_stoplist cgi-bin ?
acl umacs arp /ets/squid/my.users.macs
acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl localnet src 192.168.0.0/255.255.0.0
delay_pools 1
delay_class 1 1
delay_access 1 allow umacs
delay_access 1 deny all
delay_parameters 1 8000/8000
acl SSL_ports port 443        # https
acl SSL_ports port 563        # snews
acl SSL_ports port 873        # rsync
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl Safe_ports port 631        # cups
acl Safe_ports port 873        # rsync
acl Safe_ports port 901        # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
http_access deny !umacs
http_access allow localnet
http_access allow localhost
http_access deny all
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access deny all
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern -i (/cgi-bin/|\?) 0    0%    0
refresh_pattern (Release|Package(.gz)*)$    0    20%    2880
access_log /var/log/squid/access.log squid
acl shoutcast rep_header X-HTTP09-First-Line ^ICY.[0-9]
upgrade_http0.9 deny shoutcast
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
cache_peer 192.168.4.2 parent 8080 0 no-query default
never_direct allow localnet
теперь при старте Squid ругается на пустую acl, так:
>2011/08/31 16:52:42| aclParseArpData: Bad ethernet address: '/ets/squid/my.users.macs'
>2011/08/31 16:52:42| aclParseAclLine: WARNING: empty ACL: acl umacs arp /ets/squid
>/my.users.macs
>2011/08/31 16:52:42| Squid is already running!  Process ID 3582
Подскажете что не так? и еще вопрос.delay_parameters 1 8000/8000 это ограничение на одного юзера или на всю группу umacs?
заранее спасибо

сообщить модератору +/– ответить

gt оверквотинг удален acl umacs arp ets , Miroslav Glushak (?), 12:01 , 31-Авг-11 (4)
>[оверквотинг удален]
> cache_peer 192.168.4.2 parent 8080 0 no-query default
> never_direct allow localnet
> теперь при старте Squid ругается на пустую acl, так:
>>2011/08/31 16:52:42| aclParseArpData: Bad ethernet address: '/ets/squid/my.users.macs'
>>2011/08/31 16:52:42| aclParseAclLine: WARNING: empty ACL: acl umacs arp /ets/squid
>>/my.users.macs
>>2011/08/31 16:52:42| Squid is already running! Process ID 3582
> Подскажете что не так? и еще вопрос.delay_parameters 1 8000/8000 это ограничение на
> одного юзера или на всю группу umacs?
> заранее спасибо
=====================================
acl umacs arp /ets/squid/my.users.macs
ошибка
сообщить модератору +/– ответить

gt оверквотинг удален в чем путь правильный название файла тоже сму acl бр, ValGord (?), 12:15 , 31-Авг-11 (5)
>[оверквотинг удален]
>>>2011/08/31 16:52:42| aclParseArpData: Bad ethernet address: '/ets/squid/my.users.macs'
>>>2011/08/31 16:52:42| aclParseAclLine: WARNING: empty ACL: acl umacs arp /ets/squid
>>>/my.users.macs
>>>2011/08/31 16:52:42| Squid is already running! Process ID 3582
>> Подскажете что не так? и еще вопрос.delay_parameters 1 8000/8000 это ограничение на
>> одного юзера или на всю группу umacs?
>> заранее спасибо
> =====================================
> acl umacs arp /ets/squid/my.users.macs
> ошибка
в чем? путь правильный..название файла тоже.. сму acl брал из совета выше
сообщить модератору +/– ответить

gt оверквотинг удален спасибо разбрался я тупой , ValGord (?), 13:34 , 31-Авг-11 (6)
>[оверквотинг удален]
>>>>2011/08/31 16:52:42| aclParseArpData: Bad ethernet address: '/ets/squid/my.users.macs'
>>>>2011/08/31 16:52:42| aclParseAclLine: WARNING: empty ACL: acl umacs arp /ets/squid
>>>>/my.users.macs
>>>>2011/08/31 16:52:42| Squid is already running! Process ID 3582
>>> Подскажете что не так? и еще вопрос.delay_parameters 1 8000/8000 это ограничение на
>>> одного юзера или на всю группу umacs?
>>> заранее спасибо
>> =====================================
>> acl umacs arp /ets/squid/my.users.macs
>> ошибка
спасибо! разбрался .. я тупой :(

сообщить модератору +/– ответить

Если не заработало в версии 3 внесите путь к файлу с маками в кавычки, ТЕ acl , cyberbug (ok), 10:39 , 05-Сен-13 (7)
Если не заработало в версии 3.* внесите путь к файлу с маками в кавычки, ТЕ acl umacs arp "/etc/squid/my.users.macs"
сообщить модератору +/– ответить

Squid + AD(ntlm),

NeonGloss, (Аутентификация) 15-Апр-13, 09:23 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Всем Утра! и хорошей недели)
нужна ваша помощь
Есть прокси, есть сервер введенный в домен (wbinfo на все что хочешь отвечает хорошо);
Но авторизация через ntlm_helper не работает, даже
проверка как то странно отвечает, не по faq'у (http://wiki.squid-cache.org/ConfigExamples/Authenticate/Ntlm):
ввожу в командной строке:
/usr/lib/squid3/ntlm_auth --helper-protocol=squid-2.5-basic
а он мне выдает полную справку по хелперу, и предлагает указывать в команде мой домен, я его указываю, действие повторяется....
ничего не пойму. Подскажите кто знает?!
ubuntu 12.04-serv

Ответить | Сообщить модератору

gt оверквотинг удален на примере в дебианеauth_param ntlm program usr bin ntl, Сер (?), 10:16 , 15-Апр-13 (1)
>[оверквотинг удален]
> Есть прокси, есть сервер введенный в домен (wbinfo на все что хочешь
> отвечает хорошо);
> Но авторизация через ntlm_helper не работает, даже
> проверка как то странно отвечает, не по faq'у (http://wiki.squid-cache.org/ConfigExamples/Authenticate/Ntlm):
> ввожу в командной строке:
> /usr/lib/squid3/ntlm_auth --helper-protocol=squid-2.5-basic
> а он мне выдает полную справку по хелперу, и предлагает указывать в
> команде мой домен, я его указываю, действие повторяется....
> ничего не пойму. Подскажите кто знает?!
> ubuntu 12.04-serv
на примере в дебиане
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp

сообщить модератору +/– ответить

Squid и блокировка stream в логах бардак(,

kolka88, (Учет работы пользователей, логи) 07-Авг-13, 14:34 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Доброго времени суток ув. Форумчане. Прошу вашей помощи так как погуглив так и не нашел нужной мне информации. Имеется прокси squid (Version 3.2.9) на freeBSD (9.0-RELEASE-p7) сервер настроен прозрачно в связке с Cisco 2911 по протоколу wccp. Все работает отлично, но в логах постоянный "срачЪ" типа такого:
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_flashvideo' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_shockwave' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'x-type2' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_flashvideo' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_shockwave' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'x-type2' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_flashvideo' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'deny_rep_mime_shockwave' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'x-type2' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'fails' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
2013/08/01 01:19:28 kid1| ACL::checklistMatches WARNING: 'torrent_mime' ACL is used but there is no HTTP reply -- not matching.
И идут постоянно, помогает только если закоментить в squid.conf эти правила. Соответственно кусок конфига относящиеся к нему:
acl fails rep_mime_type ^.*mms.*
acl fails rep_mime_type ^.*ms-hdr.*
acl fails rep_mime_type ^.*x-fcs.*
acl fails rep_mime_type ^.*x-ms-asf.*
acl fails2 urlpath_regex dvrplayer mediastream mms://
acl fails2 urlpath_regex .asf$ .afx$ .flv$ .swf$
acl deny_rep_mime_flashvideo rep_mime_type -i video/flv
acl deny_rep_mime_shockwave rep_mime_type -i ^application/x-shockwave-flash$
acl x-type req_mime_type -i ^application/octet-stream$
acl x-type req_mime_type -i application/octet-stream
acl x-type req_mime_type -i ^application/x-mplayer2$
acl x-type req_mime_type -i application/x-mplayer2
acl x-type req_mime_type -i ^application/x-oleobject$
acl x-type req_mime_type -i application/x-oleobject
acl x-type req_mime_type -i application/x-pncmd
acl x-type req_mime_type -i ^video/x-ms-asf$
acl x-type2 rep_mime_type -i ^application/octet-stream$
acl x-type2 rep_mime_type -i application/octet-stream
acl x-type2 rep_mime_type -i ^application/x-mplayer2$
acl x-type2 rep_mime_type -i application/x-mplayer2
acl x-type2 rep_mime_type -i ^application/x-oleobject$
acl x-type2 rep_mime_type -i application/x-oleobject
acl x-type2 rep_mime_type -i application/x-pncmd
acl x-type2 rep_mime_type -i ^video/x-ms-asf$
acl torrent_mime rep_mime_type -i ^application/x-bittorrent$
acl torrent_mime rep_mime_type -i application/x-bittorrent

http_reply_access deny deny_rep_mime_flashvideo
http_reply_access deny deny_rep_mime_shockwave
http_access deny fails
http_reply_access deny fails
http_access deny fails2
http_reply_access deny fails2
http_access deny x-type
http_reply_access deny x-type
http_access deny torrent_mime
http_reply_access deny torrent_mime
#http_access deny x-type2
#http_reply_access deny x-type2
http_access deny torrent_mime
http_reply_access deny torrent_mime

Говорят что это наблюдается в версиях именно от 3.0 и выше. Помогите, может кто то решал уже? Заранее благодарен.

Ответить | Сообщить модератору

Не сталкивался лично, но в документации ясно сказано, что rep_mime_type не предн, alexpaknix (ok), 08:31 , 14-Авг-13 (1)
Не сталкивался лично, но в документации ясно сказано, что rep_mime_type не предназначен для http_access.
rep_mime_type: regular expression pattern matching on the reply (downloaded content) content-type header. This is only usable in the http_reply_access directive, not http_access.
http://wiki.squid-cache.org/SquidFaq/SquidAcl
сообщить модератору +/– ответить

проблема с установкой squid,

via85, (Squid) 14-Авг-13, 12:59 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
Я новичок в Linux. Встал такой вопрос:
Нужно установить squid для перехвата https трафика. Система - RHEL 6, скачал последнюю версию squid с сайта. Захожу под root, затем tar xvzf squid-3.3.8.tar.gz после распаковки перехожу и запускаю ./configure --enable-icap-client --enable-useragent-log --enable-referer-log --enable-kill-parent-hack --enable-ssl --enable-follow-x-forwarded-for --enable-ssl-crtd --enable-delay-pools --enable-xmalloc-statistics (опции нужны для ssl трафика), затем make all, затем make install.
Порядок установки правильный? Как после этого запускать/останавливать squid? service squid выдает, что unrecognized service. squid -v ничего не показывает (command not found) - или ее надо из какого-то другого места запускать. Или эта команда годится только к тем, что были из rpm установлены? Никакого пользователя squid для установки создавать не надо? Папка /usr/local/squid появилась.
Если устанавливать squid из rpm, то можно как-то эти параметры (опции) --enable-icap-client --enable-useragent-log --enable-referer-log --enable-kill-parent-hack --enable-ssl --enable-follow-x-forwarded-for --enable-ssl-crtd --enable-delay-pools --enable-xmalloc-statistics выставить?
И еще вопрос: если squid уже стоит, то чтобы пересобрать его с указанными опциями, то нужно его удалять или же нет? Сохранятся ли при этом настройки?

Ответить | Сообщить модератору

Еще пробовал запускать так перешел в usr local squid sbin, там squid - говор, via85 (ok), 13:30 , 14-Авг-13 (1)
Еще:
пробовал запускать так: перешел в /usr/local/squid/sbin, там ./squid - говорит Warning: Cannot write log file: /usr/local/squid/var/logs/cache.log /usr/local/squid/var/logs/cache.log: Permission denied. messages will be snt to the stderr, пробовал запускать ./squid -z из того же места, говорит Creatting missing swap directories. No cache dir stores are configured.
>[оверквотинг удален]
> Или эта команда годится только к тем, что были из rpm
> установлены? Никакого пользователя squid для установки создавать не надо? Папка /usr/local/squid
> появилась.
> Если устанавливать squid из rpm, то можно как-то эти параметры (опции) --enable-icap-client
> --enable-useragent-log --enable-referer-log --enable-kill-parent-hack --enable-ssl
> --enable-follow-x-forwarded-for --enable-ssl-crtd --enable-delay-pools --enable-xmalloc-statistics
> выставить?
> И еще вопрос: если squid уже стоит, то чтобы пересобрать его с
> указанными опциями, то нужно его удалять или же нет? Сохранятся ли
> при этом настройки?
сообщить модератору +/– ответить

service - вызывает start 124 stop скрипт, а не бинарник, нет скрипта получаете , reader (ok), 14:16 , 14-Авг-13 (2)
> Добрый день!
> Я новичок в Linux. Встал такой вопрос:
> Нужно установить squid для перехвата https трафика. Система - RHEL 6, скачал
> последнюю версию squid с сайта. Захожу под root, затем tar xvzf
> squid-3.3.8.tar.gz после распаковки перехожу и запускаю ./configure --enable-icap-client
> --enable-useragent-log --enable-referer-log --enable-kill-parent-hack --enable-ssl
> --enable-follow-x-forwarded-for --enable-ssl-crtd --enable-delay-pools --enable-xmalloc-statistics
> (опции нужны для ssl трафика), затем make all, затем make install.
> Порядок установки правильный? Как после этого запускать/останавливать squid? service
service - вызывает start|stop скрипт, а не бинарник, нет скрипта получаете ошибку
> squid выдает, что unrecognized service. squid -v ничего не показывает (command
> not found) - или ее надо из какого-то другого места запускать.
нет /usr/local/squid/sbin в PATH, вызывайте по полному пути
> Или эта команда годится только к тем, что были из rpm
> установлены? Никакого пользователя squid для установки создавать не надо? Папка
для установки не надо, а для работы надо
/usr/local/squid
> появилась.
> Если устанавливать squid из rpm, то можно как-то эти параметры (опции) --enable-icap-client
> --enable-useragent-log --enable-referer-log --enable-kill-parent-hack --enable-ssl
> --enable-follow-x-forwarded-for --enable-ssl-crtd --enable-delay-pools --enable-xmalloc-statistics
> выставить?
в rpm готовый бинарник, если при сборке чегото не включили , то через указание опций не появится
> И еще вопрос: если squid уже стоит, то чтобы пересобрать его с
если устанавливаете в разные места можно и не удалять, сами только не запутайтесь потом что, чье и где
> указанными опциями, то нужно его удалять или же нет? Сохранятся ли
> при этом настройки?
смотря как удалять
сообщить модератору +/– ответить

Проблемы с iptables,

mejikop, (Разное) 07-Авг-13, 21:33 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

не много не в тему но может сможете помочь
Проблема следующая Имеем 3 сетевых интерфейса eth0 - внешний сетевой интерфейс имеет внешний IP:89.175.100.126 и подцеплено 4 альаса eth0:1 - 89.175.188.85 eth0:2 - 89.175.188.87 eth0:3 - 89.175.188.84 eth0:4 - 89.175.188.81 так же имеем 2 внутренние сетевые карты eth1 - 192.168.1.44 eth2 - 192.168.0.1
результат выполнения ifconfig

eth0      Link encap:Ethernet  HWaddr 00:1f:1e:02:91:31
          inet addr:89.175.100.126  Bcast:89.175.100.255  Mask:255.255.255.252
          inet6 addr: fe80::21f:1eff:fe02:9131/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:450185 errors:0 dropped:0 overruns:0 frame:0
          TX packets:402434 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:321291572 (321.2 MB)  TX bytes:85646661 (85.6 MB)

eth0:1    Link encap:Ethernet  HWaddr 00:1f:1e:02:91:31
          inet addr:89.175.188.85  Bcast:89.175.188.87  Mask:255.255.255.252
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

eth0:2    Link encap:Ethernet  HWaddr 00:1f:1e:02:91:31
          inet addr:89.175.188.87  Bcast:89.175.188.87  Mask:255.255.255.252
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

eth0:3    Link encap:Ethernet  HWaddr 00:1f:1e:02:91:31
          inet addr:89.175.188.86  Bcast:89.175.188.87  Mask:255.255.255.252
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

eth0:4    Link encap:Ethernet  HWaddr 00:1f:1e:02:91:31
          inet addr:89.175.188.81  Bcast:89.175.188.83  Mask:255.255.255.255
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1

eth1      Link encap:Ethernet  HWaddr 00:1f:1e:02:52:89
          inet addr:192.168.1.44  Bcast:192.168.1.255  Mask:255.255.255.0
          inet6 addr: fe80::21f:1eff:fe02:5289/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:460803 errors:0 dropped:1272 overruns:0 frame:0
          TX packets:457629 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:91068596 (91.0 MB)  TX bytes:323854354 (323.8 MB)

eth2      Link encap:Ethernet  HWaddr c8:be:19:d3:91:d7
          inet addr:192.168.0.44  Bcast:192.168.0.255  Mask:255.255.255.0
          inet6 addr: fe80::cabe:19ff:fed3:91d7/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:57665 errors:0 dropped:1272 overruns:0 frame:0
          TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:5965976 (5.9 MB)  TX bytes:309803 (309.8 KB)

lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:65536  Metric:1
          RX packets:34 errors:0 dropped:0 overruns:0 frame:0
          TX packets:34 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:2632 (2.6 KB)  TX bytes:2632 (2.6 KB)

В сети Eth1 куча компов которые выходят через этот шлюз в инет и несколько копов с разными сервисами. В сети eth2 есть только один компьютер с веб сервером почему то проброс портов до сети eth1 работает нормально А вот в eth2 не прорабатывает. И из сети eth1 не получается увидеть сайт в сети eth2

#!/bin/bash

#Стираем iptables
iptables -F
iptables -t nat -F

#параметры по умолчанию iptables -P INPUT ACCEPT

iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

#Маскарадим
iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE

#Разрешаем если нужно ping
iptables -t filter -A FORWARD -p icmp -j ACCEPT

#Разрешаем уже установленые соединения iptables -A FORWARD -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#Разрешаем dns
iptables -t filter -A FORWARD -p tcp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p tcp --dport 53 -j ACCEPT
iptables -t filter -A FORWARD -p udp --sport 53 -j ACCEPT
iptables -t filter -A FORWARD -p udp --dport 53 -j ACCEPT

iptables -t nat -A PREROUTING -p tcp --dport 443 -d 89.175.100.126 -j DNAT --to-destination 192.168.1.168
iptables -A FORWARD -p tcp --dport 443 -d 192.168.1.168 -j ACCEPT
iptables -A FORWARD -p tcp --sport 443 -s 192.168.1.168 -j ACCEPT
iptables -t nat -A PREROUTING -d 89.175.188.85 -j DNAT --to-destination 192.168.1.202
iptables -t nat -A PREROUTING -d 89.175.188.87 -j DNAT --to-destination 192.168.1.203
iptables -t nat -A PREROUTING -p tcp --dport 3389 -d 89.175.100.126 -j DNAT --to-destination 192.168.1.176
iptables -t nat -A PREROUTING -p tcp --dport 5222 -d 89.175.100.126 -j DNAT --to-destination 192.168.1.200
iptables -t nat -A PREROUTING -p tcp -m multiport --dport 25,110,125,143,993 -d 89.175.100.126 -j DNAT --to-destination 192.168.1.224
iptables -t nat -A PREROUTING -p tcp --dport 80 -d 89.175.188.81 -j DNAT --to-destination 192.168.0.204 -не прорабатывает
iptables -A FORWARD -p tcp -o eth2 -d 192.168.0.204 -s 192.168.1.223 --dport 80 -j ACCEPT -не прорабатывает
iptables -A FORWARD -p tcp -o eth2 -d 192.168.0.204 -s 192.168.1.223 --dport 6022 -j ACCEPT - не прорабатывает

остальное все работает

Ответить | Сообщить модератору

sysctl -w net ipv4 ip_forward 1, pvlinux (?), 02:59 , 08-Авг-13 (1)
sysctl -w net.ipv4.ip_forward=1
сообщить модератору +/– ответить

CacheManager и ошибки,

Sergey, (Разное) 16-Июл-13, 08:45 [⋘ | ☳ | ⋙ | ⚟ ] [линейный вид] [смотреть все]

Добрый день!
В файле cache.log Squid3 3.1.6 (Debian Stable 6.07) заметил следующие строки, после настройки Sqstat.php .
2013/07/16 10:20:05| CacheManager: <unknown>@127.0.0.1: password needed for 'storedir'
2013/07/16 10:20:05| CacheManager: <unknown>@127.0.0.1: password needed for 'info'
2013/07/16 10:20:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:20:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:25:05| CacheManager: <unknown>@127.0.0.1: password needed for 'storedir'
2013/07/16 10:25:05| CacheManager: <unknown>@127.0.0.1: password needed for 'info'
2013/07/16 10:25:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:25:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:30:07| CacheManager: <unknown>@127.0.0.1: password needed for 'storedir'
2013/07/16 10:30:07| CacheManager: <unknown>@127.0.0.1: password needed for 'info'
2013/07/16 10:30:07| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:30:07| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:35:05| CacheManager: <unknown>@127.0.0.1: password needed for 'storedir'
2013/07/16 10:35:05| CacheManager: <unknown>@127.0.0.1: password needed for 'info'
2013/07/16 10:35:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
2013/07/16 10:35:05| CacheManager: <unknown>@127.0.0.1: password needed for 'counters'
Часть конфигурации squid.conf
cachemgr_passwd mypassword counters storedir info

Еще столкнулись с проблемой, что с недавнего времени Squid стал занимать всю оперативную память (16ГБ) и вылетать. До этого были настройки по умолчанию. После этого добавил в файл конфигурации следующие строки:
cache_mem 256 MB
maximum_object_size_in_memory 40 KB
maximum_object_size 20480 KB
cache_dir aufs /var/spool/squid3 3072 16 256
Но это ситуацию не изменило. Приходится ежедневно перезапускать Squid по 2-3 раза, чтобы у пользователей был интернет.
Подскажите, как можно решить данные две проблемы.

Ответить | Сообщить модератору

Проверьте опцию сквида memory_pools , по дефолту она в состоянии - on, то есть н, ipmanyak (ok), 12:35 , 17-Июл-13 (1)
Проверьте опцию сквида memory_pools , по дефолту она в состоянии - on, то есть не освобождается занимаемая память, сделайте - off
Обновите версию сквида, ваша 3.1.6 очень старая, возможно в старших версиях пофиксили утечки памяти, вроде в 3.1.12-1 было пофиксено . Последняя версия 3.3.8. Если ее нет в репозитории дебиана, поставьте другую старше 3.1.6, например 3.1.23.
cache_dir aufs /var/spool/squid3 3072 16 256
не стоит заниматься гигантизмом, большой кэш будет тормозить сквид поиском в индексах. если у вас безлимитный тариф, то лучше вообще не использовать дисковый кэш. Толк от него небольшой, особенно, если юзеры ходят на много разных сайтов, а не на одни и те же.

сообщить модератору +/– ответить


Пометить прочитанным Создать тему	1 \| 2 \| 3 \| 4 \| 5 \| 6 \| 7 \| 8 \| 9 \| 10 \| Архив \| Избранное \| Мое \| Новое \| ☳ \| ☶ \| ⚟