Squid i kontrola www dla użytkowników

[Igor]

Hejka

Postawiłem squida i chciałbym ograniczyć za jego pomocą użytkownikom dostęp do www w godzinach pracy.  Ale coś robię źle bo blokada nie działa. Moglibyście zerknąć i podpowiedzieć mi jak to poprawnie ustawić ?

 

acl lan src 192.168.1.0/24

##########
acl TimeWorkUser1 time M T W H F A 10:00-15:00
acl User1 src 192.168.1.100
acl GoodSitesUser1 dstdomain "/etc/squid/users/GoodSites.cfg"
#########

acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 443         # https

acl CONNECT method CONNECT

auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 5
auth_param basic credentialsttl 8 hours
auth_param basic realm Proxy: Wymagana autoryzacja
acl ncsa_users proxy_auth REQUIRED
http_access allow ncsa_users

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager

http_access allow localhost

#########
http_access deny User1 !GoodSitesUser1
http_access allow lan TimeWorkUser1
#########

http_access deny all

http_port 3128

coredump_dir /var/spool/squid

refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320

cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log

request_header_access Referer deny all
request_header_access X-Forwarded-For deny all
request_header_access Via deny all
request_header_access Cache-Control deny all
forwarded_for off

 #cat GoodSitesUser1.cfg

www.domena1.pl
domena2.pl

Za wszelkie porady będę niezmiernie wdzięczny

 

Pozdrawiam 

Igor

[oui]

Wymuszane jest korzystanie z squida?  To znaczy czy użytkownicy aby na pewno korzystają z proxy. Coś logi mówią?

[Igor]

Iptables:

-A PREROUTING -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 3128
-A POSTROUTING -o enp4s0 -j SNAT --to-source 192.168.0.215

Logi :

1519904778.243    246 192.168.1.100 TCP_TUNNEL/200 3661 CONNECT dmp.dtxngr.com:443 user1 HIER_DIRECT/93.179.237.142 -
1519904778.384    389 192.168.1.100 TCP_TUNNEL/200 3661 CONNECT dmp.dtxngr.com:443 user1 HIER_DIRECT/93.179.237.142 -
1519904778.385   3205 192.168.1.100 TCP_TUNNEL/200 3548 CONNECT pixel.rubiconproject.com:443 user1 HIER_DIRECT/62.67.193.75 -
1519904778.407    155 192.168.1.100 TCP_TUNNEL/200 877 CONNECT pl-gmtdmp.mookie1.com:443 user1 HIER_DIRECT/52.28.4.97 -

Squid działa ...

Jakieś pomysły ?

[oui]

Może wchodzą od razu na https://domena2.pl 

[Igor]

Sprawdziłem.  Blokowanie nie działa bez względu na to jak wpisze adres w przeglądarce.  Czy składnia pliku konfiguracyjnego jest prawidłowa ?

[housemd]

a nie lepiej na squid zrobić whitelist na self i dostawić dansguardian do blokowania ?

[Igor]

A to rozwiązanie daje możliwości określenie blokowanych wybranych  domen dla pojedynczych użytkowników. Mi zależy na określeniu listy dostępnych domen i zablokowania wszystkich pozostałych. Myślałem o !lista_domen. Pytam się o tą możliwość bo nie orientuje się w dansguardian ale jeżeli daje taka możliwość to zgłębię temat

[housemd]

możesz zdefiniować osobne gruby i zrobić 3 poziomowy dostęp - jedna full control, druga dopuszczona tylko to whitelist'y stron a  trzecia z "Access has been Denied" wszędzie. Przy każdej z nich masz automat z content filter "czeszący" reguły wg określonych wag. porno,warez i inny syf blokuje świetnie.

Edytowane 2 Marca 2018 przez housemd

[Igor]

Ok. Poradziłem sobie.  W sumie konfiguracja poniższa działa z małym wyjątkiem. W takim ustawieniu użytkownik nie autoryzuje się przy próbie dostępu do internetu, natomiast blokada GoodSites1 oraz TimeWorkUser1 działa.

...
acl User1 src 192.168.1.101
acl TimeWorkUser1 time M T W H F A 11:00-15:00
acl GoodSites1 dstdomain "/etc/squid/users/user1/GoodSites.cfg"
http_access allow User1 TimeWorkUser1 GoodSites1
http_access deny User1


auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 5
auth_param basic credentialsttl 8 hours
auth_param basic realm Proxy: Wymagana autoryzacja
acl ncsa_users proxy_auth REQUIRED
http_access allow ncsa_users

request_header_access Referer deny all
request_header_access X-Forwarded-For deny all
request_header_access Via deny all
request_header_access Cache-Control deny all
forwarded_for off
...

 

Natomiast w takim jest autoryzacja ale nie ma blokady określonej w GoodSites1 ani w TimeWorkUser1.

...
auth_param basic program /usr/lib64/squid/basic_ncsa_auth /etc/squid/passwd
auth_param basic children 5
auth_param basic credentialsttl 8 hours
auth_param basic realm Proxy: Wymagana autoryzacja
acl ncsa_users proxy_auth REQUIRED
http_access allow ncsa_users

acl User1 src 192.168.1.101
acl TimeWorkUser1 time M T W H F A 11:00-15:00
acl GoodSites1 dstdomain "/etc/squid/users/user1/GoodSites.cfg"
http_access allow User1 TimeWorkUser1 GoodSites1
http_access deny User1

request_header_access Referer deny all
request_header_access X-Forwarded-For deny all
request_header_access Via deny all
request_header_access Cache-Control deny all
forwarded_for off
...

Możecie mi wytłumaczyć jak to zorganizować aby obydwie rzeczy działały jednocześnie ? Rozumiem że kolejność reguł ma znaczenie.  Szukałem rozwiązania w necie ale nie natrafiłem na nic co by naprowadziło mnie na rozwiązanie tego problemu.