Fórum Ubuntu Linux - PT
Suporte Técnico => Servidores => Tópico iniciado por: marcionugas em 07 de Maio de 2011, 17:45
-
Boa tarde amigos.
.
.
Gostaria de pedir a voces uma ajuda referente a aquela tela de mensagem de ACESSO NEGADO que aparece quando uma pessoa acessa um site indevido. O bloqueio ocorre normalmente, mas a mensagem não aparece.
Abaixo esta meu squid.conf.
.
.
http_port 3128 transparent
visible_hostname lacqua_di_fiori
error_directory /usr/share/squid/errors/Portuguese
cache_mem 300 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 100 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 512 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
acl redelocal url_regex 150.149.148.0/24
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl palavra url_regex "/etc/squid/palavra"
http_access deny palavra
http_access allow localhost
http_access allow redelocal
http_access deny all
-
Eu verifiquei no log do squid e não vi nada de errada.
.
.
Extranho, ele simplesmente não esta redirecionando a pagina de acesso negado.
-
Agora voltou ao normal, só em um problema.
Tenho uma lista de ip de diretoria que tem acesso total, e o restante esta no bloqueio por palavra. Mas so esta navegando que esta na lsita da diretoria, o resto esta bloqueado.
e agora?
-
A configuração que vc postou lá em cima não tem a liberação pra lista diretoria. Mas mesmo assim, dá pra ver que a acl "redelocal" está errada.
Altere de "acl redelocal url_regex 150.149.148.0/24" para "acl redelocal src 150.149.148.0/24", ou poste a sua configuração atual.
-
http_port 3128 transparent
visible_hostname lacqua
error_directory /usr/share/squid/errors/Portuguese
cache_mem 300 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 100 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 512 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
acl redelocal src 150.149.148.0/24
acl admin src "/etc/squid/ip-acesso-total"
http_access allow admin
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl palavras url_regex "/etc/squid/palavra"
http_access deny palavras all
http_access allow redelocal
http_access allow localhost
http_access deny all
-
Otimo, troquei. Mas voltou ao contexto acima.
Ele esta fazendo o bloqueio normal, mas não esta exibindo a tela de ACESSO NEGADO.
Por exemplo: Se voce for no google e digitar uma palavra que esta no arquivo palavra, como perereca, ele simplesmente nao deixa fazer nada, vc clica em pesquisa e nao vai, mas deveria aparecer a pagina de acesso negado.
Lembrando a todos que o squid que estou usando é o 2.7.
-
error_directory /usr/share/squid/errors/Portuguese
Esse caminho está correto? O usuário que executa o Squid tem permissão de acesso em todos os passos do caminho?
Tem mais uma coisa que está me chamando a atenção.
acl redelocal src 150.149.148.0/24
Essa não é uma faixa de rede privada. Essa faixa é registrada? Se não for, você está em erro.
-
Enquanto eu estava digitando isto, zekkerj postou a mesma coisa... hehe
""""""""Verifica se este caminho realmente existe
error_directory /usr/share/squid/errors/Portuguese
pois tenho o squid instalado no Ubuntu server 10.10, e o caminho é outro. .../pt-br
"""""""""
-
Vou verificar agora, pois estou logado no servidor.
-
Bom, la tem os dois... pt-br e Portuguese. Qual usar?
-
Mas a mensagem de ACESSO NEGADO aparece quando entra em um site indevido, mas nao quando digita uma palavra indevida.
-
Não tem nada na sua configuração que possa estar causando isso, marcionugas. A mensagem que é passada em caso de bloqueio é sempre a mesma, a menos que você use a diretiva "deny_info".
Descreva melhor o que acontece. Como a página vem, quando é bloqueada pelas palavras restritas? Em branco? E o log do squid, o que diz nesse caso?
-
Eu adcionei uma acl para bloquear alguns sites, vou postar aki o squid.conf modificado.
Quando alguem entra em um site indevido, aparece a tela de ACESSO NEGADO.
Quando alguem digita alguma palavra que estaja dentro do conteudo do arquivo palavra, quando clica em pesquisar ou dar um enter, nao acontece nada.
O meu log do squid ta assim para todas as palavras bloqueadas:
TPC_MISS/204 338 GET http://clients1.google.com.br/complete/search? - DIRECT/64.233.163.100 TEXT /JAVASCRIPTS.
Meu squid.conf esta assim:
http_port 3128 transparent
visible_hostname top
error_directory /usr/share/squid/errors/pt-br
cache_mem 300 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 100 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 512 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
acl redelocal src 150.149.148.0/24
acl admin src "/etc/squid/ip-acesso-total"
http_access allow admin
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl site dstdomain "/etc/squid/sites"
acl palavras url_regex "/etc/squid/palavra"
http_access deny palavras
http_access deny site
http_access allow redelocal
http_access allow localhost
http_access deny all
-
Ou seja, os sites ele esta bloqueando e aparecendo a tela de erro, as palavras estão sendo bloqueadas e não esta aparecendo a tela de erros, eu acredito que seja algo no squid.conf, mas não sei onde.
-
percebi uma coisa:
quando entro no google e digito no campo de pesquisa : gostosa, e clico em pesquisa google, nao da nada, mas quando eu clico em estou com sorte ela da a tela de acesso negado.
-
Quando alguem digita alguma palavra que estaja dentro do conteudo do arquivo palavra, quando clica em pesquisar ou dar um enter, nao acontece nada.
O meu log do squid ta assim para todas as palavras bloqueadas:
TPC_MISS/204 338 GET http://clients1.google.com.br/complete/search? - DIRECT/64.233.163.100 TEXT /JAVASCRIPTS.
Não tá bloqueando não. Se tivesse bloqueado apareceria como "TCP_DENIED/403
Esse código 204 significa "No Content". De alguma forma, vc já está recebendo a resposta vazia.
Quer fazer um teste? Desative as linhas relativas ao filtro de palavras, veja como muda o comportamento do acesso.
-
Quando desativa, ele passa, quando ativa, ela nao passa, mas nao da a mensagem de bloqueio.
-
Esta daí do google, aconteceu comigo também.
Quando digitava algo no google que estava na lista de bloqueio, simplesmente não acontecia nada quando clicava no botão de pesquisar.
Daí pensei que fosse algo relacionado a programação da página do google.
pensei, deve ser que, quando digita: "palavra_proibida" (onde "palavra_proibida" é a palavra proibida. (lógico_))
O botão de pesquisa já se torna um link já com a palavra em questão.
Mas a palavra em questão está bloqueada, logo o link não é criado.
Teste, Digita algo liberado e clica em Pesquisar >>>> ele vai pesquisar.
Clica em Pesquisar sem digitar nada >>>> não vai acontecer nada.
Fica aí essa analogia minha.
Testa com os sites,,, cade.com.br ou yahoo ou otro de pesquisa.
Abraços
-
Pois é...
tentei em outro sites como o bing, yahoo search e deu certo.
Menos no tio google.
-
aproveitando o topico, como que crio um acl para fazer bloqueio de download, tipo, mp3, avi, entre outros.
ja criei assim:
acl bloqueio url_regex -i "/etc/squid/download"
http_access deny bloqueio
Dentro deste arquivo, eu coloquei os formatos desta maneira:
/.mp3$
.mp3$
mp3$
/.mp3
.mp3
mp3
E nenhum deu certo, estou fazendo o teste com o mp3.
-
acl proibido-urlpath urlpath_regex -i "/usr/local/etc/squid/proibido-urlpath"
Fonte/Leia Mais:
http://www2.unijui.edu.br/~heini/freebsd/squid.html
-
Continua não fazendo bloqueio de download.
Meu squid.conf esta assim:
http_port 3128 transparent
visible_hostname lacqua
error_directory /usr/share/squid/errors/pt-br
cache_mem 300 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 100 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 512 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
acl redelocal src 150.149.148.0/24
acl admin src "/etc/squid/ip-acesso-total"
acl bloqueio urlpath_regex -i "/etc/squid/download"
acl palavras url_regex -i "/etc/squid/palavras"
acl site dstdom_regex -i "/etc/squid/sites"
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow admin
http_access deny bloqueio
http_access deny palavras
http_access deny site
http_access allow redelocal
http_access allow localhost
http_access deny all
.
E meu arquivo download tem um formato só para teste e deixei assim:
.mp3$
.mp3
\.mp3$
\.mp3
mp3
.
E nenhum deles vinga.
-
e pra ficar mais complicado, ele não esta bloqueando todos os sites. Pq?
-
Só para exemplificar.
No meu arquivo tem sites assim:
youtube.com.br
orkut.com
atletico.com.br
cruzeiro.com.br
superesportes.com.br
Youtube e Orkut estão sendo bloqueados, mas o restantes não. E ja verifiquei erro de ortografia.
-
Eu gosto de usar o bloqueio por MIME-TYPE pra bloquear downloads.
Assim, pra bloquear MP3, vc usaria:
acl mp3 mime-type application/mp3
http_reply_access deny mp3
A chave é esse "http_reply_access", ele é ativado não na requisição, mas na resposta. Com esse controle vc consegue inclusive bloquear alguns elementos dentro da página, sem bloquear a página toda.
-
tanto ficar fuçando tentando bloquear estes downloads, acabei de f.... o servidor.
Mas ja estou instalando novamente.
Mas preciso de ajudar de voces para fazer estes bloqueios, daki a pouco volto para falar como esta o processo.
-
Eu gosto de usar o bloqueio por MIME-TYPE pra bloquear downloads.
Assim, pra bloquear MP3, vc usaria:
acl mp3 mime-type application/mp3
http_reply_access deny mp3
A chave é esse "http_reply_access", ele é ativado não na requisição, mas na resposta. Com esse controle vc consegue inclusive bloquear alguns elementos dentro da página, sem bloquear a página toda.
Uia...
pelo parte de que bloqueia apenas alguns elementos, e não a página toda, deve ser excelente. eu não sabia disso! =)
Muito bom saber!!
-
Não deu certo este mime....
Simplesmente não deixou ninguem navegar.
-
Só se eu estiver colocando em lugar errado.
-
Mostre o que fez.
-
Meu squid.conf esta assim:
http_port 3128 transparent
visible_hostname lacqua
error_directory /usr/share/squid/errors/pt-br
cache_mem 300 MB
maximum_object_size_in_memory 128 KB
maximum_object_size 100 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 512 16 256
cache_access_log /var/log/squid/access.log
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
acl redelocal src 150.149.148.0/24
acl admin src "/etc/squid/ip-acesso-total"
acl bloqueio urlpath_regex -i "/etc/squid/download"
acl palavras url_regex -i "/etc/squid/palavras"
acl site dstdom_regex -i "/etc/squid/sites"
acl mp3 mime-type application/mp3
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow admin
http_access deny bloqueio
http_access deny palavras
http_access deny site
http_reply_access deny mp3
http_access allow redelocal
http_access allow localhost
http_access deny all
-
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
No Meu Squid.conf
#Default:
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
No Meu squid.conf estes dados estão diferentes, e funcionando tanto no meu server 10.04 e outro server com Fedora 8
-
refresh_pattern é sintonia fina...
-
Meu Caro. Está muito estranho o não-bloqueio
aqui funciona tranquilim o bloqueio por extenção.
Vou passar o meu squid.conf pra você se divertir.
Ubuntu Server 10.10
Squid Cache: Version 2.7.STABLE9
http_port 3128 transparent
visible_hostname linuxserver
#Cache windowsupdate testei com Windows 7 - FUNCIONANDO OK 25-04-2011
refresh_pattern windowsupdate.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
refresh_pattern download.microsoft.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
refresh_pattern www.download.microsoft.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
refresh_pattern www.microsoft.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
refresh_pattern au.download.windowsupdate.com/.*\.(cab|exe|dll|msi) 4320 100% 43200 reload-into-ims
refresh_pattern download.windowsupdate.com/.*\.(cab|exe|dll|msi) 4320 100% 43200 reload-into-ims
refresh_pattern www.download.windowsupdate.com/.*\.(cab|exe|dll|msi) 4320 100% 43200 reload-into-ims
#Cache atulizacao avira
refresh_pattern personal.avira-update.com/.*\.(cab|exe|dll|msi|gz) 10080 100% 43200 reload-into-ims
#Cache atualizacao symantec
#refresh_pattern liveupdate.symantecliveupdate.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
#refresh_pattern symantecliveupdate.com/.*\.(cab|exe|dll|msi) 10080 100% 43200 reload-into-ims
#Cache avast
#refresh_pattern avast.com/.*\.(vpu|cab|stamp|exe) 10080 100% 43200 reload-into-ims
##http://wiki.squid-cache.org/SquidFaq/WindowsUpdate
range_offset_limit -1
quick_abort_min 16 KB
quick_abort_max 16 KB
quick_abort_pct 95
##
#######
########### Cache Videos - nao funcionou ###########
#refresh_pattern -i \.flv$ 10080 90% 999999 ignore-no-cache override-expire ignore-private
#acl youtube dstdomain .youtube.com
#cache allow youtube
################################
cache_mem 64 MB
maximum_object_size_in_memory 4 MB
maximum_object_size 512 MB
cache_dir ufs /var/spool/squid 4096 16 256
cache_access_log /var/log/squid/access.log
error_directory /usr/share/squid/errors/pt-br/
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 21 280 443 488 563 591 777 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT
dns_nameservers xxx.xxx.xxx.xxx xxx.xxx.xxx.xxx (coloque seus DNS preferido ou do seu ISP)
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
#Default:
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
#Paginas dinamicas
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
#connect_timeout 180 seconds
#request_timeout 40 seconds
##
############
#Arquivo de sites liberados
acl sites_liberados url_regex -i "/etc/squid/regras/sites_liberados.txt"
# Arquivo com ips liberado
acl ips_liberados src "/etc/squid/regras/ips_liberados.txt"
# Arquivo de sites bloqueados
acl sites_bloqueados url_regex -i "/etc/squid/regras/sites_bloqueados.txt"
# Regra para não fazer cache
acl nocache url_regex -i "/etc/squid/regras/nocache.txt"
# Arquivo com extensoes de arquivos de downloads
acl downloads urlpath_regex -i "/etc/squid/regras/downloads.txt"
# Arquivo de sites sexo
acl sites_proibidos url_regex -i "/etc/squid/regras/sites_proibidos.txt"
# MalwarePatrol
acl MalwarePatrol url_regex "/etc/squid/regras/MalwarePatrol.txt"
http_access deny MalwarePatrol
# Regra para não fazer cache
no_cache deny nocache
# Libera acesso para os ips liberados
http_access allow ips_liberados
# Libera acesso para os sites liberados
http_access allow sites_liberados
# Bloqueia acesso para os sites proibidos
http_access deny sites_proibidos
# Bloqueia acesso para os sites bloquados
http_access deny sites_bloqueados
# Bloqueia downloads
http_access deny downloads
acl redelocal src 192.168.2.0/24
http_access allow localhost
http_access allow redelocal
http_access deny all
Dentro de "/etc/squid/regras/downloads.txt"
coloquei:
.pif$
.scr$
.exe$ <---- Foi só para teste aqui no Lab
e pronto filé rodando 100%.
e tudo isso posso editar pelo Browser. (ver: squidadmin)
só estudar, copiar, adaptar e colar...
Falow.
Ah, Zekkerj
Dê uma conferida no meu Squid.conf, e me dê um jóia se voce achar que está jóia? ;D
Abraços
-
Ta vingando jovem....
Salvou!!!!!!!!!!!!!!!!!
.
.
Agora vou para o Dansguardian.
-
A jóia brilha quando o problema funciona... ;)
-
Então... The jewel is shining ( Fazendo ref. à Sun is shining - Bob Marley, hehe)
Abraço.