LINUX.ORG.RU
решено Форум — Admin  

Доступ заблокирован администратором сайта[27]

 


0

1

Всем доброго дня! Сталкнулся с такой вот проблемой, сеть организации сидит за натом, поднят прозрачный прокси squid3, нежелательные ресурсы блокируются средствами самого сквида, есть белые и черные списки.
Сайты: http://www.office-planet.ru/ и http://www.office-zakaz.ru/ не перечисленны не в одном из черных списков. При попытке перейти по ним с включеным проксированием получаю вот такую бяку, выключаю сквид сайты начинают прогружаться. Вот копаюсь с этой проблемой уже 3-й час, мож кто сталкивался, или занет в чем причина подскажите решение или верное направление куда копать, сразу оговорюсь, что вносил сайты в белые списки результат такойже.

★★★

Попробуй спрятать заголовки Via и прочие «лишние». Искать по запросу «anonymous squid».

поднят прозрачный прокси squid3

Не по теме вопрос: а какая версия сквида? 3.1 или новее? Squid установлен на шлюзе в интернет или на отдельной машине?

Black_Roland ★★★★
()
Последнее исправление: Black_Roland (всего исправлений: 2)
Ответ на: комментарий от sin_a

Забыл добавить, если блочит прокся то банер стандартный скидовский. Так что нет это сообщение не сквида.

julixs ★★★
() автор топика
Ответ на: комментарий от Black_Roland 
 dpkg -s squid3 | grep Version[br]
Version: 3.1.19-1ubuntu3.12.04.3
julixs ★★★
() автор топика
Ответ на: комментарий от julixs

да уже все
я просто тем, кто сюда позже придет. Инфы-то мало было

ii343hbka ★★★
()
Ответ на: комментарий от notlive

Вот конфиг: 

#########################################################
#		Конфиг SQUID3  05.12.2014						#
#########################################################
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl router src 10.0.2.2/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
 
# Основные ресурсы нашей офисной сети
acl vzsk src 10.0.2.0/24      		      # наша сеть
acl users src "/etc/network/allow.txt"        # Перечень IP-адресов пользователей, которым разрешён Интернет в принципе
#acl peering src "/etc/network/peering.txt"   # Перечень пиринговых сетей провайдера
 
# Набор правил для пулов задержки
acl itech src "/etc/squid3/pools/itech.txt"			  # Перечень IP-адресов it отдела
acl vip src "/etc/squid3/pools/vip.txt"                           # Перечень IP-адресов привелигерованных пользователей 80% от канала
acl delaypool50 src "/etc/squid3/pools/delay50.txt"               # Для четвертого пула - активно использующие интернет 1 mb 80% все что выше 50%
acl delaypool10 src "/etc/squid3/pools/delay10.txt"               # Для первого пула - наказываем за нарушения резко ограничивая скорость
acl delaysites url_regex -i "/etc/squid3/pools/delay_sites.txt"   # Для первого пула - ограничиваем сайты лидеры закачек
 
# Набор правил для борьбы с нежелательным контентом
# предлагаемые классы: adv,dating,redirector,porn,shopping,socialnet,spyware
acl banner dstdomain "/etc/squid3/ban/adv/domains"                # Реклама, баннеры
acl banner_reg url_regex -i "/etc/squid3/ban/adv/urls"
 
acl dating dstdomain "/etc/squid3/ban/dating/domains"             # Сайты знакомств
acl dating_reg url_regex -i "/etc/squid3/ban/dating/urls"
 
acl redirector dstdomain "/etc/squid3/ban/redirector/domains"     # Редиректоры и прокси - извечное зло адмиов
acl redirector_reg url_regex -i "/etc/squid3/ban/redirector/urls"
 
#acl porno dstdomain "/etc/squid3/ban/porn/domains"               # Порно
#acl porno_reg url_regex -i "/etc/squid3/ban/porn/urls"
 
#acl shopping url_regex "/etc/squid3/ban/shopping/domains"        # Сайты интернет-торговли и шоппинга
#acl shopping_reg url_regex -i "/etc/squid3/ban/shopping/urls"
 
acl socialnet dstdomain "/etc/squid3/ban/socialnet/domains"       # Социальные сети
acl socialnet_reg url_regex -i "/etc/squid3/ban/socialnet/urls"
 
acl spyware dstdomain "/etc/squid3/ban/spyware/domains"           # Опасные сайты
acl spyware_reg url_regex -i "/etc/squid3/ban/spyware/urls"
 
acl manual dstdomain "/etc/squid3/ban/manual.txt"                 # Вручную добавленные сайты для блокировки
acl manual_reg urlpath_regex -i "/etc/squid3/ban/manual_reg.txt"
acl mediacon rep_mime_type -i "/etc/squid3/ban/mimeav.txt"  	  # MIME типы аудео видео
 
acl exceptions url_regex -i "/etc/squid3/exceptions/general.txt"     # Сайты-исключения, перечень ресурсов
acl directurls url_regex -i "/etc/squid3/exceptions/nocache.txt"     # Отдельные сайты не попадающие в кэш и имеющие прямой обмен с клиентами
 
# Индивидуальный подход к пользователям подготовим перечень IP и доступных для них ресурсов(указать ip заменить n на последний бит создать списки)
acl ip108 src 10.0.2.108/32
acl sites108 url_regex "/etc/squid3/exceptions/108"
acl ip114 src 10.0.2.114/32
acl sites114 url_regex "/etc/squid3/exceptions/114"
acl ip115 src 10.0.2.115/32
acl sites115 url_regex "/etc/squid3/exceptions/115"
acl ip152 src 10.0.2.152/32
acl sites152 url_regex "/etc/squid3/exceptions/152"
acl ip151 src 10.0.2.151/32
acl sites151 url_regex "/etc/squid3/exceptions/151"

 
acl workhours time 7:30-18:59                                     # Рабочее время плюс пара часов для "жаворонков" или "сов"
acl lunchtime time 12:00-13:00                                    # Обеденное время - разрешаем социальные сети для правильного усвоения пищи
acl media urlpath_regex -i \.mp3$ \.asf$ \.wma$ \.avi$ \.mov$ \.m3u$ \.mp4$     # Медийный контент
 
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 1025-65535 # unregistered ports
acl CONNECT method CONNECT
 
http_access allow manager router
http_access deny manager
#Данная строка задает пароль secret и разрешает делать все
cachemgr_passwd secret all
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
 
# Исключения ставим в самый "верх" цепочки правил
http_access allow exceptions users
 
# Баннеры режем для всех без исключений
http_access deny banner
http_access deny banner_reg


# VIP-пользователям разрешено всё (проза жизни)
http_access allow itech
http_access allow vip
 
# Открываем для конкретного IP перечень конкретных сайтов
http_access allow sites108 ip108
http_access allow sites114 ip114
http_access allow sites115 ip115
http_access allow sites151 ip151
http_access allow sites152 ip152

http_access deny spyware users
http_access deny spyware_reg users
#http_access deny porno users
#http_access deny porno_reg users
 
# Сайты знакомств и прочие "неопасные" прелести разрешаем в обед и нерабочее время…
http_access deny dating users
http_access deny dating_reg users
http_access deny redirector users
http_access deny redirector_reg users
#http_access deny shopping users
#http_access deny shopping_reg users
http_access deny socialnet users
http_access deny socialnet_reg
http_access deny manual users
http_access deny manual_reg users

# Заприщаем аудио и видео по MIME-type
http_reply_access deny mediacon users !vip !itech

julixs ★★★
() автор топика
Ответ на: комментарий от julixs

Продолжение: 

# Всё что не попало под наши фильтры - разрешаем для пользователей офиса
http_access allow users
http_access allow localhost
 
# Остальное запрещаем для всех
http_access deny all
icp_access deny all
htcp_access deny all
 
# Волшебное слово transparent ("прозрачный") заменено на intercept
http_port 3128 intercept
 
hierarchy_stoplist cgi-bin ?
 
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
no_cache deny directurls
 
cache_mgr admin@metalcon.ru
cache_mem 256 MB
 
half_closed_clients on
 
maximum_object_size_in_memory 512 KB
maximum_object_size 8192 KB
 
# Задействовать ли кэширование на диск - решать вам. Часто "овчинка выделки не стоит".
#cache_dir ufs /var/spool/squid3cache 15000 16 256
 
access_log /var/log/squid3/access.log squid
cache_log /var/log/squid3/cache.log
cache_store_log none
 
# Начиная с версии 3.1 эта опция устарела и ротирует только cache.log
logfile_rotate 31
 
pid_filename /var/run/squid3.pid
 
# Сюда перехала ротация логов
debug_options ALL,1 rotate=31
 
refresh_pattern ^ftp:       1440    20% 10080
refresh_pattern ^gopher:    1440    0%  1440
refresh_pattern (cgi-bin|\?)    0   0%  0
refresh_pattern .       0   20% 4320
 
quick_abort_min 16 KB
quick_abort_max 16 KB
quick_abort_pct 95
 
negative_ttl 0 seconds
positive_dns_ttl 6 hours
negative_dns_ttl 1 minutes
 
# обезличим нашу локальную сеть, отключив передачу во внешний мир информации о том, что офис сидит за прокси.
forwarded_for off
 
# Исключим передачу некоторых видов заголовков
request_header_access From deny all
#request_header_access Referer deny all
request_header_access Server deny all
request_header_access User-Agent deny all
request_header_access WWW-Authenticate deny all
request_header_access Link deny all
 
# Меняем браузер на Chrome 12
#header_replace User-Agent Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/534.30 (KHTML, like Gecko) Chrome/12.0.742.112 Safari/534.30
 
cache_effective_user proxy
cache_effective_group proxy
 
visible_hostname vzsk
 
# Распилим наш канал в 10МБ/сек. следующим образом…
delay_pools 5
 
# 1 класс - Наказываем нарушителей ограничением скорости (жёстким ограничением в 500КБ/сек.)
delay_class 1 1
delay_access 1 allow delaypool10
delay_access 1 allow delaysites
delay_access 1 allow media
delay_parameters 1 500000/500000
delay_access 1 deny all
 
# 2 класс - it отдел, избранные сайты и пиринговые сети - без ограничений по скорости
delay_class 2 1
delay_access 2 allow itech
#delay_access 2 allow peering
delay_access 2 allow directurls
delay_parameters 2 -1/-1
delay_access 2 deny all
 
# 3 класс - vip - Интернет без границ (ну или почти без границ в 8MB.)
delay_class 3 2
delay_access 3 allow vip
delay_parameters 3 -1/-1 8000000/8000000
delay_access 3 deny all
 
# 4 класс - до 1MB загружают весь канал без ограничений, свыше только 50% от канала
delay_class 4 2
delay_access 4 allow delaypool50
delay_parameters 4 -1/-1 5000000/8000000
delay_access 4 deny all
 
# 5 класс -  ограничеваем канал для всех остальных до 1 mbit/s
delay_class 5 1
delay_access 5 allow vzsk
delay_parameters 5 1000000/1000000
delay_access 5 deny all

icp_port 3130
 
error_directory /usr/share/squid3/errors/Russian-1251
 
deny_info ERR_ACCESS_DENIED_BANNERS banner banner_reg
deny_info ERR_ACCESS_DENIED_DATING dating daring_reg
deny_info ERR_ACCESS_DENIED_REDIRECTOR redirector redirector_reg
deny_info ERR_ACCESS_DENIED_PORNO porno porno_reg
deny_info ERR_ACCESS_DENIED_SOCIALNET socialnet socialnet_reg
deny_info ERR_ACCESS_DENIED_SPYWARE spyware spyware_reg
deny_info ERR_ACCESS_DENIED manual manual_reg
 
always_direct allow directurls
 
hosts_file /etc/hosts
 
coredump_dir /var/spool/squid3

julixs ★★★
() автор топика
Ответ на: комментарий от Black_Roland

Почитал про anonymous squid, некоторые заголовки уже были спрятанны как можно увидеть из конфига, добавил/изменил 

forwarded_for off
на 
via off
forwarded_for delete
Эфект тотже самый((((

julixs ★★★
() автор топика

В логах пишет 

1423134433.831    "MyIP" TCP_MISS/200 1076 GET http://www.office-zakaz.ru/ - DIRECT/188.127.247.66 text/html

julixs ★★★
() автор топика
Ответ на: комментарий от darkenshvein

Эти два сайта оприори не должны блокироваться, кеш не причем, еще подобная проблемма сегодня всплыла с личным кабинетом лукойла)))

julixs ★★★
() автор топика
Ответ на: комментарий от julixs

Прям не конфиг, а высокая планка внутреннего вахтерства.

Обеденное время - разрешаем социальные сети для правильного усвоения пищи

anonymous_sama ★★★★★
()
Ответ на: комментарий от anonymous_sama

За основу брался копипаст с интернетов, так что часть коментов осталась от автора блога.

julixs ★★★
() автор топика
Ответ на: комментарий от julixs

Вообщем проблема решена правда не так, как хотелось бы. Закоментировал все запреты прередачи заголовков и добавил:

via off
forwarded_for delete

Пока работает так, если потребуется какието заголовки исключить, думаю к этому времени закрою прогрехи в данном вопросе, будет все полегче.

julixs ★★★
() автор топика
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.
Admin