LINUX.ORG.RU
ФорумAdmin

[squid][acl] Сложные правила для сквида.


0

1

Есть squid. Надо запретить одному отделу ходить на одноклассники, но сделать исключение, разрешив им ходить туда с часу до двух (в обед).

Правильно ли я понимаю, что надо:

acl klassniki url_regex klassniki
acl smolyanki src 10.37.34.X
acl smolyanki src 10.37.34.Y
acl smolyanki src 10.37.34.Z
acl obed time 13:00-14:00

http_access deny smolyanki klassniki !obed
http_access allow <something>
http_access deny all

???

Ответ на: комментарий от adriano32

>По IP запретил ходить? Нет? Иначе твоим правилом можно подтереться и продолжать сидеть в соцсетях.

Тоже не панацея.

На самом деле, надежнее всего фильтровать по содержимому страницы через соотвествующий regex.

four-two-two ()
Ответ на: комментарий от four-two-two

Это сильный оверхед же для прокси. Мало того, что прими, так ещё отгрепай содержимое страницы... А если клиентов с полсотни? Это ж какие мощности надо выделить, чтобы такое обслуживать?

adriano32 ★★★ ()
Ответ на: комментарий от adriano32

>Это сильный оверхед же для прокси. Мало того, что прими, так ещё отгрепай содержимое страницы... А если клиентов с полсотни? Это ж какие мощности надо выделить, чтобы такое обслуживать?

М-м, ты считаешь, что тот же E5620 не потянет?

four-two-two ()
Ответ на: комментарий от four-two-two

Не занимался таким подробным разбором загружаемого http-контента, потому не скажу. Но то, что простаивать он не будет, гарантировано.

adriano32 ★★★ ()
Ответ на: комментарий от adriano32

Уточню, вопрос сконцентрирован вокруг строчки [code]http_access deny smolyanki klassniki !obed

[/code]

А что понимать под ACLом klassniki интересует уже меньше.

То есть вопрос: будет ли данное правило запрещать только отделу «smolyanki» (несколько src ip ) ходить на одноклассники (тут уже регекспы, dst ip, итп ) но только не в обед (то есть в обед данное ограничение действовать не будет)

nixtrian ()
Ответ на: комментарий от nixtrian

Уточню, вопрос сконцентрирован вокруг строчки ...

Я прекрасно понимаю, в чём ты неуверен, просто от url-regex'a тут толку мало, говорю тебе из личного опыта перекрывания соцсетей.

А по сабжу: проверить сам не хочешь? Если маны squid'a не читаешь, то хотя бы на практике. заодно попробуешь по ip к запрещённым ресурсам стукнуться, убедишься, что всё работает.

А вообще когда указано несколько acl'ов к ним логическое И применяется, вот и сам решай, правильно ты написал или нет

adriano32 ★★★ ()

Зря разрешаешь во время обеда ходить в одноклассники, в это время интернет будет жестко тупить, все хомяки будут ждать час Х и забьют от радости весь канал.
Это из личного опыта.

Deleted ()
Ответ на: комментарий от Deleted

adriano32 прав. Делэйпулы есть, да и хомяков немного (5 штук всего). Точнее 5ти хомякам будет установлено ограничение(по просьбе начальника отдела), а остальные (порядка 50ти) будут по-прежнему лазить в контактики без ограничений (разве по скорости). Так что вряд ли это что-то изменит. А вообще практика показывает, что если после жалобы юзера на нехватку скорости уменьшить эту самую скорость всем (в том числе и этому самому юзеру), то проблема нехватки решается (что, впрочем, объяснимо, но все же забавно).

nixtrian ()
Ответ на: комментарий от nixtrian

Не подумал, что народу мало, у меня это было с компанией около 100 человек (подумал тут тоже достаточно) и это была проблема. Решили просто - отговорили начальство от этой затеи.

Deleted ()
Ответ на: комментарий от adriano32

а подсеть одна. Точнее 2, но явление это временное. Режется все тремя пулами: один пул с общим ограничением чуть меньше ширины канала, и с ограничением на пользователя ~0.15 канала. Второй пул для провинившихся (сюда же попадают все запросы на одноклассники, вконтактики итп). Третий пул для большого начальства и для меня (ну и для адекватных людей, которым нужен инет по работе).

nixtrian ()

не вижу смысла насиловать SQUID таким образом уже лучше тогда использовать squidGuard, он как раз для этих целей и нужен.

CrAzYMaN ()
Вы не можете добавлять комментарии в эту тему. Тема перемещена в архив.