» SQUID (только под *nix)

Цитата:

А чего её обсуждать-то?
SAMS старая штука, а не что-то новое. Вопросы по ней поднимались, просто отдельной темы с шапкой она не заслужила.

Alukardd, а есть что то подобное "все в одном"?
P.S. Торренты оно не считает ipcad ставить ручками

Nomolos
В смысле? Что в одном?

Alukardd
ну так что готовая была связка
Squid+AD+LDAP+IPcad+LightSquid+Jekka+etc

Nomolos
Ух...
Вся прелесть в том что все это отдельный софт и каждый собирает из него то что ему треба.

Alukardd, знаю, сам тоже собирал все по отдельности

https(по УРЛ) как-то фильтровать можно ?
или только делать дени на коннект к хттпы портам?

me2k
Нет, https нельзя. Делается DNS запрос для получения ip адреса сервера и дальше с ним устанавливается SSL сессия и усё, на этом фильтрация и закончилась, даже не успев начаться.
Можно блокировать по ip-адресу рвущемуся на 443порт методом CONNECT.

Приветствую, господа и дамы!

Есть проблема следующего характера:
При попытке зайти на gmail.com получаю такое вот сообщение

Цитата:

Попытка соединения не удалась
Firefox не может установить соединение с сервером accounts.google.ru.

При нажатии клавиши F5 или обновлении страницы любым другим способом, страница открывается нормально. И так почти каждый раз.

Проблема не страшная, и работать, по большому счёту, можно, но неприятен сам факт её наличия, и хотелось бы от неё избавиться раз и навсегда.

Поначалу грешил на PF, но после того, как PF был отключен, а проблема осталась, стало совершенно очевидно, что собака зарыта именно в сквиде.

Конфиг сквида прилагаю:

Цитата:

http_port        192.168.1.230:3128
visible_hostname    GATE

#################################################################################
# INSERT YOUR OWN ALIASES HERE
#################################################################################
acl    users        src        192.168.1.0/24    # it.loc network
acl    admins        src        "/usr/local/etc/squid/admins.txt"
acl    denied        dstdomain    "/usr/local/etc/squid/denied.txt"
#acl    mail        dstdomain    "/usr/local/etc/squid/ACLs/mail.txt"
#acl    mail_users    srcdomain    "/usr/local/etc/squid/ACLs/mail_users.txt"
acl    socials        dstdomain    "/usr/local/etc/squid/ACLs/socials.txt"
acl    socials_users    src        "/usr/local/etc/squid/ACLs/socials_users.txt"

acl    stop_files    urlpath_regex    \.exe \.msi \.rar \.zip \.iso \.tar \.rmp \.mp3 \.wav \.flac \.mp4 \.mpg \.aac \.avi \.mkv \.mov \.3gp \.wma \.qt \.mid \.asx

#################################################################################
# INSERT YOUR SQUID PARAMETERS HERE
#################################################################################

error_default_language        ru-ru
error_directory            /usr/local/etc/squid/errors/ru-ru
cache_mem            512 MB
cache_dir            ufs    /var/log/SQUID/cache    1030    24    256
cache_swap_low            90    #cleaning cache swap when 90% full
cache_swap_high         95    #cleaning cache swap when 95% full
memory_replacement_policy    lru
memory_pools            off
maximum_object_size_in_memory    4096 KB
minimum_object_size        0 KB
maximum_object_size        10240 KB
ftp_user            squid@GATE
ftp_passive            on
logfile_rotate            13
access_log            /var/log/SQUID/access.log
cache_log            /var/log/SQUID/cache.log
dns_nameservers            195.14.50.1 195.14.50.21

forwarded_for            off

##################################################################################
# INSERT YOUR OWN RULES HERE TO ALLOW ACCESS FROM YOUR CLIENTS
##################################################################################

http_access    deny        denied        users
#http_access    deny        mail        users    !mail_users
http_access    deny        socials        users    !socials_users
http_access    deny        stop_files    users
http_access    allow        all    

Пробовал уже поочерёдно все правила комментировать - ничего не помогает.
Версия FreeBSD 8.0
Версия Squid 3.1.20
В чём может быть проблема?

вопрос
lysiukkk
а где у Вас вообще разрешение на работу с SSL соединениями? Или Вы думаете их squid фильтрует нормально сам? Или у Вас gmail по http вдруг работает?

acl SSL_Ports port 443
acl CONNECT method CONNECT

http_access allow CONNECT SSL_Ports

Alukardd
спасибо за ответ. Добавил вышеуказанное правило - проблема осталась, по-прежнему нужно обновлять страницу, чтобы попасть на страницу.

lysiukkk
Я надеюсь вы его до deny all добавили?)
Проблема на единичной машине или на нескольких?
У пользователя вообще как настройки прокси прописаны? В браузере? Для https тоже они применяются?

Alukardd

Цитата:

Я надеюсь вы его до deny all добавили?)

Само собой...

Проблема абсолютно на всех машинах, которые пытаются достучаться до gmail'a. Да, настройки прописаны в браузерах, задан один прокси сервер для всех протоколов, включая https.

lysiukkk
С другими ssl сайтами проблем нету?

Можно поиграть с ограничением заголовков для gmail, но не думаю, что google как-то препятствуют работе через proxy.

Покажите что говорит лог при обращении к mail.google.com?
И кстати, проблема выглядит одинаково при переходе по ссылке или прямом наборе адреса в браузере (включая gmail.com и mail.google.com)?

Последний кусок из лога:

Цитата:

1344425274.346 126 192.168.1.32 TCP_MISS/302 1114 GET http://mail.google.com/mail/ - DIRECT/173.194.32.21 text/html
1344425393.347 116468 192.168.1.32 TCP_MISS/200 562 CONNECT mail.google.com:443 - DIRECT/173.194.32.21 -
1344425651.692 174 192.168.1.32 TCP_MISS/200 666 GET http://mail.google.com/ - DIRECT/173.194.32.22 text/html
1344425651.751 26 192.168.1.32 TCP_MISS/200 1581 GET http://mail.google.com/favicon.ico - DIRECT/173.194.32.22 image/x-icon
1344425651.797 70 192.168.1.32 TCP_MISS/302 1114 GET http://mail.google.com/mail/ - DIRECT/173.194.32.22 text/html

прямой набор адреса выдаёт то же самое.

Из заголовков в первую очередь стоит посмотреть на такую настройку (header_access Accept-Encoding deny all, тут all можно поменять на acl определяющий такие сайты типа гмыла), т.к. все другие которые когда-либо я настраивал это для сокрытия факта проксирования.

Добавлено:
Да, и вырубите вы кэш, на кой он вам сдался?

Alukardd
кэш отключил.

Цитата:

Из заголовков в первую очередь стоит посмотреть на такую настройку (header_access Accept-Encoding deny all, тут all можно поменять на acl определяющий такие сайты типа гмыла)

При подключении получаю следующий ответ:
2012/08/08 16:05:28| ERROR: Directive 'header_access' is obsolete.

Уже походу не актуальная настройка)

lysiukkk
На самом деле что там происходит после CONNECT мы не видим... Раз со второго раза но пускает, то похоже на косяки с кэшем, либо на squid'е, либо на клиентах.
Вроде и была похожая ситуация пару лет назад, но ни черта уже не помню. И как-то мыслей пока больше нету на этот счёт.

Alukardd
Ну ладно, попробую сам покрутить ещё. Если найду решение, отпишусь)
Спасибо огромное за ответы.

lysiukkk попробуй отрубить в сквиде поддержку IPV6, собери сквида с опцией '--disable-ipv6'

ipmanyak
чем пересобирать squid проще уж в ядре отключить ipv6 и собственно squid и не сможет пытаться.

ipmanyak
пересобрал сквид без поддержки ipv6 - заработало. Огромное спасибо за помощь)

привет, а можно как то узнать ip в redirect_program, на который подключился пользователь? допустим у squid два ip, для одного у меня одно правило, а для другого другое. спасибо

Вопрос
vlmedia73
Проблема не в Squid, а вашем знании основ IP-сетей. Читаем на wikipedia, что такое маска подсети.
Короче просто, вообще уберите маску из ваших диапазонов и всё должно работать.

Спасибо!

vlmedia73
Читай доку. Ключ "arp".

Пытаюсь настроить прокси на ubuntu server 12.04 в сети Windows.
Попутно изучаю линукс. Решил удалить и заново установить сквид.
sudo apt-get remove squid3
он спросил я нажал "да"

Потом сказал что какие-то пакеты не удалились. хотя больше не нужны

sudo apt-get autoremove

потом зашел в \etc и удалил папку squid3

Теперь если пробовать ставить то вылезают ошибки и свкид не ставиться.
Подскажите что делать ?

Mike Di

Цитата:

Теперь если пробовать ставить то вылезают ошибки и свкид не ставиться.

А можно подробнее про ошибки?

Текстом не могу - работаю напрямую через диспетчер hyper-v

Mike Di
Эм а покажите каталог с конфигом: ls -l /etc/squid3/
p.s. зачем работать через диспетчер гипервизора, когда можно подключиться по ssh и удобно работать из терминала?..

Добавлено:
Так же можно указать apt очистить конфиги удалённых пакетов.
dpkg --list | grep '^rc\b' | awk '{ print $2 }' | xargs sudo dpkg -P
Через aptitude это было бы в одну команду, но увы он теперь по умолчанию не стоит... aptitude purge \~c

Сделал ssh. Все равно пока не сообразил как копировать текст из консоли.

ls -l /etc/squid3/
Итого 0

dpkg --list | grep '^rc\b' | awk '{ print $2 }' | xargs sudo dpkg -P

Что-то там удалилось связанное с console-cyrillic, это я не кошерно пытался русифицировать консоль. Потом нашел как правильно.

и еще одна попытка установить сквид



Добавлено:
Я не понимаю, почему установщик видит, что нет файлов, но не пересоздает их в дефлотном варианте, как на винде.

Добавлено:
При установке openssh-server тоже в конце ругался на сквид, кажется, при обновлении зависимостей пакетов.