Ru-Board.club
← Вернуться в раздел «UNIX»

» squid, не работает https

Автор: Tyumin
Дата сообщения: 03.12.2007 18:44
Есть у меня сервачек c Linux на нем стоит Squid, настраивал это все дело не я.
так вот, не пойму где режется https, режется выборочно, по какому принципу не пойму, например есть ip 192.168.1.34 его не пускает на https через squid, НАТом пускает. в iptables вроде негде не режется для этого ip https.

iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
DROP all -- 192.168.1.105 anywhere
DROP all -- 192.168.1.102 anywhere
DROP all -- 192.168.1.23 anywhere
DROP all -- 192.168.1.25 anywhere
DROP all -- 192.168.1.50 anywhere
DROP all -- 192.168.1.61 anywhere
DROP all -- 192.168.1.177 anywhere
DROP all -- 192.168.1.9 anywhere
DROP all -- 192.168.1.201 anywhere
DROP all -- 192.168.1.88 anywhere
DROP all -- 192.168.1.127 anywhere
DROP all -- 192.168.1.49 anywhere
DROP all -- 192.168.1.49 anywhere
DROP tcp -- anywhere anywhere multiport ports smtp,sunrpc,auth,1025
DROP udp -- anywhere anywhere multiport ports sunrpc
ACCEPT all -- 192.168.1.202 anywhere
ACCEPT all -- 192.168.1.36 anywhere
ACCEPT all -- 192.168.1.3 anywhere
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.38 anywhere
DROP tcp -- anywhere anywhere multiport ports ssh,10000
ACCEPT all -- 192.168.1.0/24 anywhere
ACCEPT all -- localhost.localdomain anywhere
ACCEPT all -- asp anywhere
ACCEPT udp -- anywhere anywhere udp spt:domain
ACCEPT tcp -- anywhere anywhere tcp spt:http
ACCEPT all -- 192.168.20.34 anywhere

Chain FORWARD (policy DROP)
target prot opt source destination
bad_tcp_packets all -- anywhere anywhere
ACCEPT all -- anywhere 192.168.1.32 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.34 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.190 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.198 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.190 anywhere
ACCEPT all -- 192.168.1.198 anywhere
DROP tcp -- 192.168.1.11 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.38 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.25 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.157 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.37 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.36 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.27 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.88 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.131 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.14 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.101 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.102 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.103 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.105 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.157 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.188 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.23 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.25 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.44 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.45 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.46 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.61 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.9 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.7 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.47 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.88 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.35 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.116 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.139 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.201 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.26 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.33 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.97 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.127 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.49 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.131 anywhere multiport dports domain,https,5190
ACCEPT all -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED
ACCEPT tcp -- 192.168.1.0/24 anywhere multiport dports domain,https,5190
ACCEPT udp -- 192.168.1.0/24 anywhere multiport dports domain,https,5190
ACCEPT tcp -- 192.168.1.43 anywhere multiport dports ftp-data,ftp
ACCEPT udp -- 192.168.1.43 anywhere multiport dports ftp-data,ftp
ACCEPT tcp -- 192.168.1.201 anywhere multiport dports 1950
ACCEPT udp -- 192.168.1.201 anywhere multiport dports 1950
ACCEPT all -- 192.168.1.19 anywhere
ACCEPT udp -- 192.168.1.34 anywhere multiport dports smtp,pop3,pop3s
ACCEPT all -- anywhere 192.168.1.32 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.190 anywhere
ACCEPT all -- 192.168.1.198 anywhere
ACCEPT tcp -- 192.168.1.34 anywhere multiport dports https
ACCEPT udp -- 192.168.1.34 anywhere multiport dports https
ACCEPT all -- anywhere 192.168.1.245 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.245 anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain bad_tcp_packets (1 references)
target prot opt source destination
REJECT tcp -- anywhere anywhere state NEW tcp flags:SYN,ACK/SYN,ACK reject-with tcp-reset


_______________________________________________
squid.conf

http_port 3128
https_port 3128
cache_mem 32 Mb
cache_dir ufs /var/spool/squid 1024 16 256
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

acl All_user src 192.168.1.0/24

http_access allow All_user
http_access deny all

http_access allow manager localhost

http_access deny manager


http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports
http_reply_access allow all
icp_access allow all

tcp_outgoing_address 255.255.255.255
udp_outgoing_address 255.255.255.255
visible_hostname blabla.kiev.ua

httpd_accel_with_proxy off

httpd_accel_uses_host_header off

logfile_rotate 30

coredump_dir /var/spool/squid

Автор: keyhell
Дата сообщения: 03.12.2007 19:09
сквид собран как надо?
где разрешается метод connect?
Автор: Tyumin
Дата сообщения: 03.12.2007 19:27
насчет как собран squid незнаю, наверное нормально..
метод connect не вижу что б разрешался вижу что запрещается всему кроме SSL_ports, а как должно быть?
Автор: ShriEkeR
Дата сообщения: 03.12.2007 19:30
Tyumin
SQUID (только под *nix)
Автор: Tyumin
Дата сообщения: 03.12.2007 19:36
ShriEkeR
о этой теме я знаю, завел новую так как я не уверен что дело именно в squid'е
Автор: keyhell
Дата сообщения: 03.12.2007 20:44
Tyumin,
у вас бардак из правил.

если есть acl, то должно быть правило, которое его разрешает. или же acl вводится для того, чтобы что-то запрещать.

в вашем случае вы сделали acl CONNECT, но нигде нет разрешающего правила.
Автор: Tyumin
Дата сообщения: 03.12.2007 18:44
Есть у меня сервачек c Linux на нем стоит Squid, настраивал это все дело не я.
так вот, не пойму где режется https, режется выборочно, по какому принципу не пойму, например есть ip 192.168.1.34 его не пускает на https через squid, НАТом пускает. в iptables вроде негде не режется для этого ip https.

iptables -L
Chain INPUT (policy DROP)
target prot opt source destination
DROP all -- 192.168.1.105 anywhere
DROP all -- 192.168.1.102 anywhere
DROP all -- 192.168.1.23 anywhere
DROP all -- 192.168.1.25 anywhere
DROP all -- 192.168.1.50 anywhere
DROP all -- 192.168.1.61 anywhere
DROP all -- 192.168.1.177 anywhere
DROP all -- 192.168.1.9 anywhere
DROP all -- 192.168.1.201 anywhere
DROP all -- 192.168.1.88 anywhere
DROP all -- 192.168.1.127 anywhere
DROP all -- 192.168.1.49 anywhere
DROP all -- 192.168.1.49 anywhere
DROP tcp -- anywhere anywhere multiport ports smtp,sunrpc,auth,1025
DROP udp -- anywhere anywhere multiport ports sunrpc
ACCEPT all -- 192.168.1.202 anywhere
ACCEPT all -- 192.168.1.36 anywhere
ACCEPT all -- 192.168.1.3 anywhere
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.38 anywhere
DROP tcp -- anywhere anywhere multiport ports ssh,10000
ACCEPT all -- 192.168.1.0/24 anywhere
ACCEPT all -- localhost.localdomain anywhere
ACCEPT all -- asp anywhere
ACCEPT udp -- anywhere anywhere udp spt:domain
ACCEPT tcp -- anywhere anywhere tcp spt:http
ACCEPT all -- 192.168.20.34 anywhere

Chain FORWARD (policy DROP)
target prot opt source destination
bad_tcp_packets all -- anywhere anywhere
ACCEPT all -- anywhere 192.168.1.32 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.34 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.190 state RELATED,ESTABLISHED
ACCEPT all -- anywhere 192.168.1.198 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.190 anywhere
ACCEPT all -- 192.168.1.198 anywhere
DROP tcp -- 192.168.1.11 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.38 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.25 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.157 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.37 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.36 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.27 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.88 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.131 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.14 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.101 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.102 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.103 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.105 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.157 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.188 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.23 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.25 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.44 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.45 anywhere multiport dports domain,5190
DROP tcp -- 192.168.1.46 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.61 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.9 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.7 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.47 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.88 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.35 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.116 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.139 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.201 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.26 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.33 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.97 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.127 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.49 anywhere multiport dports domain,https,5190
DROP tcp -- 192.168.1.131 anywhere multiport dports domain,https,5190
ACCEPT all -- anywhere 192.168.1.0/24 state RELATED,ESTABLISHED
ACCEPT tcp -- 192.168.1.0/24 anywhere multiport dports domain,https,5190
ACCEPT udp -- 192.168.1.0/24 anywhere multiport dports domain,https,5190
ACCEPT tcp -- 192.168.1.43 anywhere multiport dports ftp-data,ftp
ACCEPT udp -- 192.168.1.43 anywhere multiport dports ftp-data,ftp
ACCEPT tcp -- 192.168.1.201 anywhere multiport dports 1950
ACCEPT udp -- 192.168.1.201 anywhere multiport dports 1950
ACCEPT all -- 192.168.1.19 anywhere
ACCEPT udp -- 192.168.1.34 anywhere multiport dports smtp,pop3,pop3s
ACCEPT all -- anywhere 192.168.1.32 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.32 anywhere
ACCEPT all -- 192.168.1.34 anywhere
ACCEPT all -- 192.168.1.190 anywhere
ACCEPT all -- 192.168.1.198 anywhere
ACCEPT tcp -- 192.168.1.34 anywhere multiport dports https
ACCEPT udp -- 192.168.1.34 anywhere multiport dports https
ACCEPT all -- anywhere 192.168.1.245 state RELATED,ESTABLISHED
ACCEPT all -- 192.168.1.245 anywhere

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

Chain bad_tcp_packets (1 references)
target prot opt source destination
REJECT tcp -- anywhere anywhere state NEW tcp flags:SYN,ACK/SYN,ACK reject-with tcp-reset


_______________________________________________
squid.conf

http_port 3128
https_port 3128
cache_mem 32 Mb
cache_dir ufs /var/spool/squid 1024 16 256
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

acl All_user src 192.168.1.0/24

http_access allow All_user
http_access deny all

http_access allow manager localhost

http_access deny manager


http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports
http_reply_access allow all
icp_access allow all

tcp_outgoing_address 255.255.255.255
udp_outgoing_address 255.255.255.255
visible_hostname blabla.kiev.ua

httpd_accel_with_proxy off

httpd_accel_uses_host_header off

logfile_rotate 30

coredump_dir /var/spool/squid

Автор: Tyumin
Дата сообщения: 03.12.2007 21:03
http_access deny CONNECT !SSL_ports - это я так понимаю и есть запрещающее правило CONNECT всему кроме SSL_ports, поправьте меня если я ошибаюсь, и подскажите как должно быть, на другом сервере с подобным конфигом у меня все работало, здесь я вобще не пойму где может закрываться https
если я пытаюсь ити по https c компьютера 192.168.1.34 то


Код: While trying to retrieve the URL: passport.bigmir.net:443

The following error was encountered:

* Connection Failed

The system returned:

(110) Connection timed out[code]
Автор: keyhell
Дата сообщения: 03.12.2007 19:09
сквид собран как надо?
где разрешается метод connect?
Автор: Tyumin
Дата сообщения: 03.12.2007 19:27
насчет как собран squid незнаю, наверное нормально..
метод connect не вижу что б разрешался вижу что запрещается всему кроме SSL_ports, а как должно быть?
Автор: stas83
Дата сообщения: 19.03.2008 19:11
Я конечно извиняюсь,..
но в моей сетке роутингом занимается микротик 2.9
Обьясните пожалуйста,где посмотреть разрешения?
У меня один комп подключается к Https, второй, а остальные -нет.
И я не знаю что делать, можно ли это все настроить в вин боксе? Если можно,то как? я не знаю...или как это сделать командно? извиняюсь,кончно,но мне оч надо еще один комп подключить,а я раньше не занимался линуксом и микротиком..
Автор: ShriEkeR
Дата сообщения: 03.12.2007 19:30
Tyumin
SQUID (только под *nix)
Автор: Tyumin
Дата сообщения: 03.12.2007 19:36
ShriEkeR
о этой теме я знаю, завел новую так как я не уверен что дело именно в squid'е
Автор: newhk
Дата сообщения: 20.05.2010 18:20
народ помогите плиз
у меня открытый фаер с заворачиванием на сквид

конфиг:
00050 divert 8668 ip4 from any to any via em1
00055 fwd 172.21.0.1,3128 tcp from 172.21.0.0/16 to any dst-port 80,8080,443 via em0
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
65000 allow ip from any to any

em0 -смотрит в локалку

конфиг SQUID'а:

acl manager proto cache_object
acl porn url_regex "/usr/local/etc/squid/conf/porn"
acl zapret url_regex "/usr/local/etc/squid/conf/zapret"
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
#acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
#acl localnet src 172.16.0.0/16 # RFC1918 possible internal network
#acl localnet src 192.168.0.0/24 # RFC1918 possible internal network
acl localnet src 172.21.0.0/24 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access deny zapret all
http_access deny porn all
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny all
icp_access allow localnet
icp_access deny all
htcp_access allow localnet
htcp_access deny all
http_port 172.21.0.1:3128 transparent
hierarchy_stoplist cgi-bin ?
access_log /usr/local/etc/squid/logs/access.log squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern (cgi-bin|\?) 0 0% 0
refresh_pattern . 0 20% 4320
icp_port 3130
visible_hostname FRYA
error_directory /usr/local/etc/squid/errors/Russian-1251
coredump_dir /usr/local/squid/cache
dns_nameservers 192.168.82.201 192.168.82.200


cat /usr/local/etc/squid/logs/access.log

1274376361.909 13 172.21.0.2 TCP_DENIED/403 1225 GET http://ya.ru/ - NONE/- text/html

в чем затык?
Автор: keyhell
Дата сообщения: 03.12.2007 20:44
Tyumin,
у вас бардак из правил.

если есть acl, то должно быть правило, которое его разрешает. или же acl вводится для того, чтобы что-то запрещать.

в вашем случае вы сделали acl CONNECT, но нигде нет разрешающего правила.
Автор: Tyumin
Дата сообщения: 03.12.2007 21:03
http_access deny CONNECT !SSL_ports - это я так понимаю и есть запрещающее правило CONNECT всему кроме SSL_ports, поправьте меня если я ошибаюсь, и подскажите как должно быть, на другом сервере с подобным конфигом у меня все работало, здесь я вобще не пойму где может закрываться https
если я пытаюсь ити по https c компьютера 192.168.1.34 то


Код: While trying to retrieve the URL: passport.bigmir.net:443

The following error was encountered:

* Connection Failed

The system returned:

(110) Connection timed out[code]
Автор: stas83
Дата сообщения: 19.03.2008 19:11
Я конечно извиняюсь,..
но в моей сетке роутингом занимается микротик 2.9
Обьясните пожалуйста,где посмотреть разрешения?
У меня один комп подключается к Https, второй, а остальные -нет.
И я не знаю что делать, можно ли это все настроить в вин боксе? Если можно,то как? я не знаю...или как это сделать командно? извиняюсь,кончно,но мне оч надо еще один комп подключить,а я раньше не занимался линуксом и микротиком..
Автор: newhk
Дата сообщения: 20.05.2010 18:20
народ помогите плиз
у меня открытый фаер с заворачиванием на сквид

конфиг:
00050 divert 8668 ip4 from any to any via em1
00055 fwd 172.21.0.1,3128 tcp from 172.21.0.0/16 to any dst-port 80,8080,443 via em0
00100 allow ip from any to any via lo0
00200 deny ip from any to 127.0.0.0/8
00300 deny ip from 127.0.0.0/8 to any
65000 allow ip from any to any

em0 -смотрит в локалку

конфиг SQUID'а:

acl manager proto cache_object
acl porn url_regex "/usr/local/etc/squid/conf/porn"
acl zapret url_regex "/usr/local/etc/squid/conf/zapret"
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
#acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
#acl localnet src 172.16.0.0/16 # RFC1918 possible internal network
#acl localnet src 192.168.0.0/24 # RFC1918 possible internal network
acl localnet src 172.21.0.0/24 # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access deny zapret all
http_access deny porn all
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny all
icp_access allow localnet
icp_access deny all
htcp_access allow localnet
htcp_access deny all
http_port 172.21.0.1:3128 transparent
hierarchy_stoplist cgi-bin ?
access_log /usr/local/etc/squid/logs/access.log squid
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern (cgi-bin|\?) 0 0% 0
refresh_pattern . 0 20% 4320
icp_port 3130
visible_hostname FRYA
error_directory /usr/local/etc/squid/errors/Russian-1251
coredump_dir /usr/local/squid/cache
dns_nameservers 192.168.82.201 192.168.82.200


cat /usr/local/etc/squid/logs/access.log

1274376361.909 13 172.21.0.2 TCP_DENIED/403 1225 GET http://ya.ru/ - NONE/- text/html

в чем затык?

Страницы: 1

Предыдущая тема: Linux + AD + squid

Форум Ru-Board.club — поднят 15-09-2016 числа. Цель - сохранить наследие старого Ru-Board, истории становления российского интернета. Сделано для людей.