» SQUID (только под *nix)

tankistua
BONDBIG

Да это я себе на домашний комп. И для меня важен кэш.

SAVage22
http://www.asmodeus.com.ua/library/soft/squid/squid2.htm

Цитата:

использовать кеш на всех серверах - нет смысла,

Как знать. У нас самыми посещаемыми является местный Прогноза погоды, Гороскопы и местный развлекательный. Почему бы их и не кешировать?

ohlos

Цитата:

Как знать. У нас самыми посещаемыми является местный Прогноза погоды, Гороскопы и местный развлекательный. Почему бы их и не кешировать?

потому что это - копейки. Вы меня можете сколько угодно переубеждать, но винт мне дороще. Да и стабильность работы сквида мен тоже больше волнует.

Когда канал мегабит - тут уж и писать надо с нормальной скоростью, при том что данные не потоковые, а мелкие файлики. Винт не вытягивает - зачем его мучать ?

tankistua
Прошу прощения за офтоп...

Мож я чего то не понимаю но скрость
Цитата:

Когда канал мегабит

явно ниже чем скрость работы винчестера...
И падение squid на медленных серверах обусловлено чем то другим.
И даже при "анлиме" может всё же есть надобность экономить хотя бы внешнюю полосу, путём отдачи файла из кеша, а не заставлять сотню юзеров перекачивать тех же "одноклассников" заново каждый раз.

у нас на хуторе 5 мбит, кинули в город, туда где есть цивилизованный инет, радиоканал. имхо кеширование будет не лишним, собираюсь на днях прозрачный сквид поднять. уж винт точно справится

зы. авторизация и учёт трафика идёт совершенно мимо сквида (опенвпн+ulogd). имхо сквид юзать для учёта трафика - как то убого, максимум что можно учесть - только тсп трафик

Привет всем посмотрите пожалуйста что тут неправельно.
#My configuration
acl office src 192.168.0.0/24
acl somoni dstdomain chat.somoni.com
acl chatmailru dstdomain chat.mail.ru
acl lovemail dstdomain love.mail.ru
acl thechatru dstdomain www.thechat.ru
acl multimedia urlpath_regex -i \.mp4$ \.mpeg$ \.avi$ \.mov$
acl allchat url_regex -i ^http://chat
acl allchat1 url_regex -i ^http://www.chat
acl banner url_regex banner reklama linkexch banpics us\.yimg\.com[\./]ad[s]?[\./]
acl dating dstdomain www.dating.ru
acl youtube dstdomain www.youtube.com
acl mailvid dstdomain video.mail.ru
acl mailvid2 dst 194.67.57.3/32
acl something dst 213.155.151.143/32
acl worktime time MTWHF 8:45-19:00
acl yahoo dstdomain games.yahoo.com
acl mpchat dstdomain mpchat.com
acl disney dstdomain motion.disney.go.com
acl rapide dstdomain rapidshare.de
acl rapidcom dstdomain rapidshare.com

#Default:

#http_access deny multimedia worktime
http_access deny somoni
http_access deny chatmailru
http_access deny thechatru
http_access deny banner
http_access deny dating
http_access deny lovemail
http_access deny yahoo worktime
http_access deny allchat
http_access deny allchat1
http_access deny mpchat
http_access deny disney
http_access deny mailvid
http_access deny mailvid2
http_access deny something
http_access deny youtube
http_access deny rapide
http_access deny rapidcom
http_access allow office
http_access deny all

Osimich Домен назначения должен содержать впереди точку.
acl somoni dstdomain chat.somoni.com - неправильно
acl somoni dstdomain .chat.somoni.com - правильно

Народ, а как сделать запрет загрузки некторых расширений файлов (mp3 avi и т.п.)
для всех кроме админа? Nsca авторизация.

Cyril Konst
acl mp3 urlpath_regex \.mp3$ \.avi$ \.mpg$
acl users proxy_auth REQUIRED
acl admin proxy_auth admin
.....
http_access allow admin
http_access allow users !mp3

Ruza
acl admin proxy_auth admin - вот эта строка непонятна.
admin авторизуется не как все?

Добавлено:
Вот конфиг:
visible_hostname ubuntu-server
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd
auth_param basic children 5
auth_param basic realm Squid proxy
auth_param basic credentialsttl 1 hours
auth_param basic casesensitive off
acl password proxy_auth REQUIRED
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl our_networks src 192.168.1.0/24
acl SSL_ports port 443        # https
acl SSL_ports port 563        # snews
acl SSL_ports port 873        # rsync
acl Safe_ports port 80        # http
acl Safe_ports port 21        # ftp
acl Safe_ports port 443        # https
acl Safe_ports port 70        # gopher
acl Safe_ports port 210        # wais
acl Safe_ports port 1025-65535    # unregistered ports
acl Safe_ports port 280        # http-mgmt
acl Safe_ports port 488        # gss-http
acl Safe_ports port 591        # filemaker
acl Safe_ports port 777        # multiling http
acl Safe_ports port 631        # cups
acl Safe_ports port 873        # rsync
acl Safe_ports port 901        # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
acl multimedia urlpath_regex [-i] \.mp3$ \.avi$ \.jpg$ \.jpeg$
http_access allow password !multimedia
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow our_networks
http_access deny all
icp_access allow all
http_port 3128
hierarchy_stoplist cgi-bin ?
access_log /var/log/squid/access.log squid
acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY
refresh_pattern ^ftp:        1440    20%    10080
refresh_pattern ^gopher:    1440    0%    1440
refresh_pattern .        0    20%    4320
acl apache rep_header Server ^Apache
broken_vary_encoding allow apache
extension_methods REPORT MERGE MKACTIVITY CHECKOUT
hosts_file /etc/hosts
coredump_dir /var/spool/squid
error_directory /usr/share/squid/errors/Russian-1251

ограничение на загрузку картинок и mp3 не срабатывает

Цитата:

acl admin proxy_auth admin - вот эта строка непонятна.
admin авторизуется не как все?

Как это не как все куда же он от REQUIRED денется?
Просто строка нужна для выделения админа из всех пользователей.
типа:
Условие - админ - авторизация на прокси - имя пользователя (админа).

Как не срабатывает? Должно!
К примеру у тебя в конфиге есть интересные строки, а именно:

Цитата:

acl password proxy_auth REQUIRED
.....
acl our_networks src 192.168.1.0/24
acl multimedia urlpath_regex [-i] \.mp3$ \.avi$ \.jpg$ \.jpeg$
.....
http_access allow password !multimedia
.....
http_access allow our_networks
http_access deny all

Это как же получается:
1. Требуем обязательную авторизацию, с нашей сети 192.168.1.0/24. С чем в принципе я согласен.
2. Разрешить доступ авторизованным пользователям, но запретить определённые расширения файлов. Тоже верно, нельзя не согласиться...
Но дальше это батенька зря - добрта она как говорится и во вред бывает:
3. Разрешить ВСЁ без ограничений для всей сети 192.168.1.0/24 и НИИПЁТ!
Т.е. всё что срезано во втором пункте скачивается через третий...

И скобки квадратные [-i] тож не надоть (у меня без них работает)

Если уж надо добавить внутренние IP тогда лучше так:
acl password proxy_auth REQUIRED
.....
acl our_networks src 192.168.1.0/24
acl multimedia urlpath_regex [-i] \.mp3$ \.avi$ \.jpg$ \.jpeg$
.....
http_access allow password !multimedia our_networks
.....
http_access deny all

Подскажите как в сквиде сделать что-бы открывались ссылки только на этом же сайте. Такое точно можно сделать сам делал, только ща конфиг потерял.

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl admin src 192.168.0.2/255.255.255.255
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 2082 2083 443 81
acl Safe_ports port 80 443 81
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow admin
http_access deny all

инет через прокси работает, фаер отключил, а по ссылкам вида r10.letitbit.net:81, т.е. где указан порт, сквид выдает сообщение (13) Permission denied. Прописывал порт в acl - не помогает. По ссылке r10.letitbit.net:80 переходит.

Что еще может рубить такие ссылки?

FSN
тут скорее всего из-за ИМХО! немного не в том порядке расставлены разрешения и почемуто 81 попал в SSL попробуй так:

acl SSL_ports port 2082 2083 443
acl Safe_ports port 80 81 443 1025-65000
acl CONNECT method CONNECT
......
http_access deny CONNECT !SSL_ports
http_access deny !Safe_ports
http_access allow admin
http_access deny all

Думаю многие встречали статьи по авторизации доменных пользователей AD на сервере squid по их логинам паролям. Поделитесь ссылками! Делается это все для того чтобы можно было контролировать выход в инет пользователей домена, а то особоумные меняют свой ИП и получают инет на своей машине...

pusiyjan
Вот одна из основнх ссылок.
Это вторая - http://wiki.squid-cache.org/ConfigExamples/

Цитата:

тут скорее всего из-за ИМХО! немного не в том порядке расставлены разрешения и почемуто 81 попал в SSL попробуй так

acl admin src 192.168.0.2/255.255.255.255
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443
acl Safe_ports port 80 443 81 2082
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny CONNECT !SSL_ports
http_access deny !Safe_ports
http_access allow admin
http_access deny all

Пробовал и так, добавил 2082 в Safe_ports, в логе:

1218088989.619 100 192.168.0.2 TCP_MISS/503 1430 GET http://62.149.18.X:2082/ - DIRECT/- text/html

и попрежнему не пускает

Когда не пускает обычно пишет что то подобное:
1218090058.297 TCP_DENIED/407 1566 GET httр://www.google.com.ua/search? - NONE/- text/html
Давай подробнее о настройках.

Фаервол отключен. Вот конфиг сквида:

http_port 8080
ssl_unclean_shutdown on
icp_port 0
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
cache_mem 8 MB
maximum_object_size 256 KB
cache_dir ufs /var/spool/squid 4000 16 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
mime_table /etc/squid/mime.conf
pid_filename /var/run/squid.pid
debug_options ALL,1
ftp_user anonymous@
ftp_passive on
redirect_children 10
request_header_max_size 10 KB
request_body_max_size 0 MB
refresh_pattern        ^ftp:        1440    20%    10080
refresh_pattern        ^gopher:    1440    0%    1440
refresh_pattern     .        0    20%    4320
quick_abort_min 16 KB
quick_abort_max 16 KB
quick_abort_pct 95
negative_ttl 1 minute
negative_dns_ttl 3 minute

acl admin src 192.168.0.2/255.255.255.255
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443
acl Safe_ports port 80 443 81 2082
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny CONNECT !SSL_ports
http_access deny !Safe_ports
http_access allow admin
http_access deny all

icp_access allow all
miss_access allow all
cache_mgr admin@zzz.com
cache_effective_user squid
cache_effective_group squid
visible_hostname zzz.com
httpd_accel_uses_host_header on
forwarded_for off
acl Max_acl maxconn 8
always_direct allow local-servers
delay_initial_bucket_level 50

В инет выхожу нормально, но только попадается ссылка с указанием порта, как в браузере пишет:

ERROR
The requested URL could not be retrieved
--------------------------------------------------------------------------------
While trying to retrieve the URL: http://62.149.18.х:2082/

The following error was encountered:

Connection to Failed
The system returned:

(13) Permission denied
The remote host or network may be down. Please try the request again.

а в логе:
1218088989.619 100 192.168.0.2 TCP_MISS/503 1430 GET http://62.149.18.X:2082/ - DIRECT/- text/html

Напиши вот такое и проверь:
acl Safe_ports port 80 81 443 1025-65535

Тоже самое, не проходит

http://80.91.187.18:8181/polygon/index.html
попробуй зайти

точно так же:

1218095583.055 101 192.168.0.2 TCP_MISS/503 1464 GET http://80.91.187.18:8181/polygon/index.html - DIRECT/- text/html

Хотя здесь уже немного по другому TCP_MISS/503 1464

acl auth proxy_auth REQUIRED
acl root proxy_auth -i root
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
....
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
....
http_access deny CONNECT !SSL_ports !auth
http_access allow manager localhost
http_access deny manager
http_access allow root
http_access deny !Safe_ports
http_access allow auth
http_access deny all
Вот с таким у меня работает один из серверов - жалоб на порты нет

Как оказалось, все конфиги рабочие. Все дело в SELinux. Пока перевел его в разрешительный режим и все пошло, захожу на нужные страницы.

Спасибо откликнувшимся

Почитал тему по диагонали, не встретил такой проблемы, поэтому задаю вопрос:

Есть squid в домене, винбинд, самба, всё настроено и работает.
Хочу одному пользователю запретить доступ в интернет:

auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
acl authenticated proxy_auth REQUIRED
acl bad-user proxy_auth some-user
http_access deny bad-user
http_access allow authenticated

и при попытке открытия любой страницы пользователя просят ввести имя/пароль.

А как сделать так, чтобы имя/пароль не спрашивались, а сразу появлялась страница с запретом?

А пользователь то виндовый или в системе просто?
Если аутентификация идет виндовых ползователей то там тольк опо группам доступ.
Одного пользователя можно по ИП закрыть.
Опиши подробнее что и как у тебя работает.


А вообще при таком конфиге у тебя будет скорее всего всегда запрашивать имя и пароль, кроме явных разрешений.

Jaba_B_Ta3e
создай группу, включи юзера в эту группу и запрети группе лезть в инет