Squid 2.6 com autenticação e bloqueio de sites, downloads, Orkut, MSN, vídeos e googletalk

opa, muito bom seu artigo!! Kra um cliente meu me questionou estes dias sobre a possibilidade de monitorar todos estes servicos antes de bloquear!!?
Tipo ele gostaria q td sua saida para internet fosse monitorada, chat via http, msn, urls e efim tudo sabe d alguma ferramenta que faca este tipo d servico!

Kra, perfeito este artigo seu, para ficar melhor eu também precisaria
que o proxy fosse transparente.. Tem Como?

rapaz, dessa forma que vc passou a configuração ae da pra fazer bypass usando o endereço de HTTPS do orkut :P


Abraços.

Anderson

Caro mautech,

Olha eu não parei bem pra ver uma boa ferramenta mais você pode usar o squidview, ele vai te mostra todo o consumo da internet, e usa o sarg tambem, ja o sarg vai te monstra um relatorio todo um acesso a intenet.

Grato,

João Paulo Farias de Araújo

Caro nps,

Pra proxy transparente tem sim, vamos la entao.

Para ativar o proxy transparente, rode o comando abaixo no seu Firewall (iptables). Ele direciona as requisições recebidas na porta 80 para o Squid:

# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 5005

Agora vamos configuração de proxy transparente no squid 2.6. A configuração de proxy transparente é feita com uma única linha. Basta substituir a linha "http_port 5005" no início do arquivo por:

http_port 5005 transparent

Não esqueça e para o squid 2.6, pois o 2.5 e diferente.

Blz

y2h4ck

Eu também tive problemas com o https do orkut...

Resolvi assim com esse comando:
/sbin/iptables -t nat -A PREROUTING -i eth1 -p tcp -s 192.168.1.0/24 -d
www.orkut.com --dport 443 -j REDIRECT --to-port 3128

Onde:
eth1 é a interface da rede interna
192.168.1.0/24 é a faixa de ips da rede interna
--dport 443 é a porta que é usado pelo https
que depois é redirecionado o trafego para a porta 3128.

Abraço

Ola y2h4ck,

Não, pois esta bloqueado o dominio orkut, e se for abril algum site proxy quando digitar orkut ele blqoueia ate mesmo no google for fazer a pesquisa sobre orkut ele bloqueia. Esta configurado no proxy e nao firewall.

Abraços.

João Paulo

Ai jpaulo_farias, y2h4ck e porongo51 da forma como esta também acho que nao vai acessa o orkut mas se estiver em proxy transparente redirecionando apenas a porta 80 para o squid ai todo mundo vai conseguir acessar o orkut atraves da url
https://www.google.com/accounts/ServiceLogin?service=orkut&continue=http%3A%2F%2Fwww.orkut.com%2FRed...

Autenticação em proxy transparente não rola, logo, as requisições https passam pelo squid e teoricamente o orkut cai na regra do nosso amigo mas só testando :D

[]'s

jpaulo_farias, preciso de ajuda, segui seus passos mas quando pede usuario e senha nao autentica e pede novamente a senha

O que pode ser ?

jpaulo_farias,

problema resolvido, era apenas permissao em arquivos

gostei do artigo caiu de para quedas, pois estou trocando o servidor e minha intensao era trocar de transparente para autenticado

Valew

Galera..
O que estava acontecendo comigo era o seguinte..
O squid bloqueava o orkut...
Se eu digitasse o endereço http://www.orkut.com, dava a mensagem de bloqueado...
Mais se o usuário digitasse https://www.orkut.com ele entrava normal..
Pois é uma conexão segura que passa pela porta 443...
Só resolvi fazendo essa conexão passar obrigatóriamente pelo squid...
Abraço.

olá all,

e quando o squid fica bloqueando o hotmail? logo com um usuário do hotmail em uma maquina funciona blz, depois logo com outro e da acesso negado ou q a url não pode ser recuperada.

Alguma idéia?

Olá, vou aproveitar a boa discussão aqui e divulgar a lista de discussão que criei.

http://groups.google.com/group/vivaolinux?hl=pt-BR

Acho que está faltando um canal mais direto e ágil de comunicação aqui no VOL. Convido a todos para participar.

[]'s

Para bloquear o orkut, basta criar uma lista, contendo claro a palavra orkut, e tambem a palavra powerscrap e direcionar dentro do squid.conf entao mesmo que o usuario tente acessar pelo https nao conseguira.

Então vou dizer pro meu squid que é para ele bloquear o https tb... :-)
Acho que ele não entendeu... Pois as palavras de bloqueio estavam bloquando o site... mais por https passava.. só resolvi bloqueando o https no iptables....

Abraço

Para bloqueio do orkut, msn...etc a regra dentro do squid ficaria assim.

acl meebo -i www.meebo.com
http_access deny www.meebo.com
acl buddy -i www.ebuddy.com
http_access deny www.ebuddy.com
acl buddy -i www.ebbudy.com
http_access deny www.ebbudy.com
acl love -i www.iloveim.com
http_access deny www.iloveim.com
acl svcs.microsoft.com -i svcs.microsoft.com
http_access deny svcs.microsoft.com
acl webmessenger.msn.com -i webmesseger.msn.com
http_access deny webmessenger.msn.com
acl kickme.to/msnmessenger2go -i kickme.to/msnmessenger2go
http_access deny kickme.to/msnmessenger2go
acl iloveim.com -i iloveim.com
http_access deny iloveim.com
acl e-messenger.net -i e-messenger.net
http_access deny e-messeger.net
acl atlanta.e-messenger.net/light/ -i atlanta.e-messenger.net/light
http_access deny atlanta.e-messenger.net/light/
acl boston.e-messenger.net/light/ -i boston.e-messenger.net/light/
http_access deny boston.e-messenger.net/light/
acl msn2go.com -i msn2go.com
http_access deny msn2go.com
cl msn2go.com.br -i msn2go.com.br
http_access deny msn2go.com.brcl msn2go.com -i msn2go.com
http_access deny msn2go.com
acl piglet-im.com -i piglet-im.com
http_access deny piglet-im.com
acl webmsn.net -i webmsn.net
http_access deny webmsn.net
acl e-messenger.cl -i e-messenger
http_access deny e-messenger.cl
acl orkut url_regex -i orkut.com
http_access deny orkut
acl bloqueio url_regex -i "/usr/local/squid/lista/bloqueio"
http_access deny bloqueio #Nega acesso a acl bloqueio, que busca seu conteudo em um arquivo de fora
acl msn url_regex -i "/usr/local/squid/etc/msn"
http_access deny msn #Nega acesso a acl bloqueio, que busca seu conteudo em um de fora.

Observe que criei uma lista chamada bloqueio e uma outra chamada msn este somente com a palavra gateway.dll, dentro da lista bloqueio vc ira digitar somente as palavras que vc quer bloquear. p.ex. bloquear orkut...digitar orkut na lista. etc.

Observe tambem que coloquei a acl e logo depois o bloqueio.

Alguém conseguiu fazer cache de FTP no squid 2.6?

Abraço!

Ola mantunes,

Desculpa a demora pra te responde, esse dias tava resolve problemas e nao entrei na internet.

Cara verifica as suas permissões dos usuarios, que vc criou, e os bloqueio e a lista de sites que você bloqueou...

Ass. João Paulo

Bloquear o orkut é uma tarefa ardua e requer constante monitoramento!

Primeiro porque tu entra no orku por outros meios, como através do link images.orkut e em HTTPS.

Segundo porque a google possui VARIOS ips que resolvem para orkut e não raro eles mudam.

Terceiro porque existem TONELADAS de proxies (navegação anônima) por onde os usuários saem. É duro...

A solução que tenho é mais ou menos esta:

- bloqueio no squid a palvra orkut e todos os links de proxies que descobri

- bloqueio no iptables os IPS para barrar tambem por HTTPS

- bloqueio por regras de squid qualquer URL que tenha apenas IP, ou seja, nada de http://200.200.200.200, somente pelo NOME. Porque isto? Porque 90% dos proxies na Internet não tem dominio registrado. Ah, tenho um arquivo de lista branca para excessões

- Um analizador de logs ve os acessos do dia anterior, descarta links conhecidos e me envia uma lista dos TOP mais. Se alguem descobre um novo proxy, este rapidamente vai aparecer como um dos TOP mais acessados. Vou lá, vejo o que era, se era proxy, insiro na minha lista de bloqueados e bloqueio a conta do usuário que acessou até que possamos "conversar"

Tem funcionado...

Olá elgio
Você poderia colocar seu squid.conf ai no site pra gente dar uma olhada???

Abraço.

Pode colocar no seu squid conforme passei antes, e seguro nao acessa o orkut de jeito nenhum, nao acessa o msn e libera o hotmail.

Mas meu squid.conf não tem muita novidade não!
Veja APENAS a parte que interessa:

acl bloqueioJogos url_regex "/etc/squid/bloqueio.jogos"
acl bloqueioPorno url_regex "/etc/squid/bloqueio.[*****]"
acl bloqueioProxy url_regex "/etc/squid/bloqueio.proxy"
acl bloqueioOutros url_regex "/etc/squid/bloqueio.outros"
acl ok url_regex "/etc/squid/ok.url"

http_access allow ok

http_access deny bloqueioPorno
http_access deny bloqueioProxy
http_access deny bloqueioOutros
http_access deny bloqueioJogos


Ai eu ponho os BLOQUEADOS nos arquivos corretos. O uso de vários arquivos é só para facilitar o gerenciamento. Ponho no arquivo /etc/squid/ok.url os que podem (excessoes) como o IP do desafio sebrae, entre outros.

Atualmente os arquivos estão bem cheinhos:
2 2 30 bloqueio.jogos
20 31 336 bloqueio.outros
215 215 2739 bloqueio.[*****]
128 128 1705 bloqueio.proxy


Por outros é onde bloqueio orkut, google talk, msn, etc
Jogos eu comecei a bloquear nesta segunda e ainda não alimentei bem a base de dados.

Só para complementar!

Ainda editei a página de erro do squid. Se o cara cai na página de erro, ao invés de uma página que só diz que houve bloqueio, tem um formulário para que o usuário, se desejar, comunique que houve um bloqueio indevido, solicitando a liberação. Se realmente foi indevido (tipo, ele acessou por IP e não pode) eu libero no arquivo ok.url

Para bloquear QUALQUER URL que tenha apenas números IPs (usar com cautela) no arquivo bloqueio.outros tem a seguinte linha:

# Bloqueia acesso pelo IP
^[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+
^http://[0-9]+\.[0-9]+\.[0-9]+\.[0-9]+

Isto casa com QUALQUER http://NumeroIP
NAO PODE (política minha)

Os que podem (sites que não tem DNS e que tu precisa mesmo acessar pelo número do IP) eu vou inserindo no ok.url tão logo algum usuário me comunique pelo formulário que mencionei

Valeu..
Vou fazer um merge aqui com o meu squid.conf!
hehehe
Abraço.

Para TODOS::

Todo mundo não pode esquecer que cada caso e um caso, no caso a minha configuração do squid.conf e com autenticação e para o messenger funcionar o messenger configuração com proxy e autenticação, o artigo que coloquei esta funcionando perfeitamente com todos os bloqueios especificos, so que eu nao coloquie o meu squid.conf todos pois acaba sendo muito grande, fiz um resumo para ajudar, os amigos e abrir o entendimento.

O arito esta funcionando de seguinte forma, tem um lista com usuarios que vao ter varias listas de acesso como acesso orkut, acesso messenger, acesso sites e ate mesmo acesso ao googletalk, ate mesmo o google talk que fica dentro do e-mail da gmail, so vai ter acesso os usuarios que esta nas listas de bloqueios e com controle de banda .

Aqui são mais de 100 usuarios olha que aqui em Manaus a internet nao e muito boa, temos um link de 1mb da telemar dedicado.

Agradeço a todos e espero ter ajudado..

Grato,

João Paulo

Para Todos aqui vai uma parte do squid.conf esta funciona perfeitamente.

################################################
##### Porta, Nome e Cache #####
################################################
#
http_port 5005
visible_hostname uirapuru
#
cache_mem 150 MB
maximum_object_size_in_memory 64 KB
maximum_object_size 256 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
#
################################################
##### Log #####
################################################
#
cache_access_log /var/log/squid/access.log
cache_store_log /var/log/squid/store.log
cache_log /var/squid/logs/cache.log
cache_dir ufs /var/spool/squid 20000 16 256
#
################################################
##### ACLs #####
################################################
#
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
#acl SSL_ports port port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 901 # swat
acl Safe_ports port 1025-65535 # portas altas
acl purge method PURGE
acl CONNECT method CONNECT
#
################################################
##### Direitos de Acessos #####
################################################
#
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
#
################################################
## USANDO NCSA_AUTH ##
################################################
#
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/squid_passwd
auth_param basic realm Servidor Proxy de Internet João Paulo. Entre com seu usuário e Senha.
#auth_param basic children 5
#
################################################
## AUTENTICAÇÃO ##
################################################
#
acl autenticados proxy_auth REQUIRED
#
################################################
## BLOQUEAR PALAVRAS ##
################################################
#
acl acesso_full proxy_auth "/etc/squid/acessos/acesso_full"
acl bloquear_palavras url_regex -i "/etc/squid/bloqueios/bloquear_palavras"
deny_info http://www.vivaolinux.com.br/~jpaulo_farias bloquear_palavras
#
################################################
## BLOQUEIA O MESSENGER ##
################################################
#
acl bloquear_msn dstdomain "/etc/squid/bloqueios/bloquear_msn"
acl acesso_msn proxy_auth "/etc/squid/acessos/acesso_msn"
http_access allow acesso_msn bloquear_msn
http_access deny bloquear_msn
deny_info http://www.vivaolinux.com.br/~jpaulo_farias bloquear_msn
#
################################################
## BLOQUEIA ORKUT ##
################################################
#
acl bloquear_orkut url_regex -i "/etc/squid/bloqueios/bloquear_orkut"
acl acesso_orkut proxy_auth "/etc/squid/acessos/acesso_orkut"
http_access allow acesso_orkut bloquear_orkut
http_access deny bloquear_orkut
deny_info http://www.vivaolinux.com.br/~jpaulo_farias bloquear_orkut
#
################################################
## BLOQUEIA GOOGLE TALK ##
################################################
#
acl bloquear_googletalk url_regex -i "/etc/squid/bloqueios/bloquear_googletalk"
acl acesso_googletalk proxy_auth "/etc/squid/acessos/acesso_googletalk"
http_access allow acesso_googletalk bloquear_googletalk
http_access deny bloquear_googletalk
deny_info http://www.vivaolinux.com.br/~jpaulo_farias bloquear_googletalk
#
################################################
## CONTROLE DE BANDA ##
################################################
#
acl livre proxy_auth "/etc/squid/acessos/acesso_banda"
acl block src 10.10.0.0/255.255.0.0
delay_pools 2
#
# Classe 1 - Acesso a Internet a 512k
#
delay_class 1 2
delay_parameters 1 -1/-1 69000/69000
#
# Classe 2 - Acesso a Internet a 180k
#
delay_class 2 2
delay_parameters 2 -1/-1 22500/22500
delay_access 1 allow livre
delay_access 2 allow block
#
http_access allow autenticados acesso_full
http_access allow acesso_full bloquear_palavras
http_access deny bloquear_palavras
#
acl redelocal src 10.10.0.0/255.255.0.0
http_access allow localhost
http_access allow redelocal
#
http_access deny all

Maravilha de Post e de comentários tb.. vlw

Ola, estou com uma terrivel duvida. . . . Configurei corretamente meu squid mas gostaria de algo mais especifico . .

Supondo que eu queira bloquear o acesso do msn apenas a alguns usuarios ou ips. . Como proceder ??

Ex:

na minha rede os ips 192.168.1.70 - 192.168.1.58 (nao podem acessar Orkut, msn etc. . )

ja os ips 192.168.1.71 - 192.168.1.59 podem acessar o que quiserem . .

Como devo proceder ? Aguardo alguma boa alma que possa me ajudar !!

Muito bom mesmo pessoal este artigo, bem completo né... detalhado.. mas seria muito melhor mesmo com honra de todos os méritos se realmente ele tivesse feito tudo sozinho.

Trabalhamos juntos na empresa e ajudei a completar então ambos dizer que fez sozinho é boato, esse nome adriano será que foi colado por coincidência?

Mas entre fazer... e usar o que as pessoas fazem existe uma grande diferença.

Boa sorte... "..."

Utilizei o seu artigo como base para ajustar o meu proxy autenticado. Mas estou com um problema na liberação dos usuários que podem ter acesso ao MSN. O usuário abre o navegador, autentica certinho e navega nos sites permitidos, só que o msn (windows live) não autentica de forma alguma. O que pode ser isso?

Parabéns pelo seu artigo e obrigado pela atenção

Ola mardonio,

Para o MSN funcionar vc vai ter que configurar o proxy, e colocar o usuário e a senha na configuração do proxy, + o usuário vai ter que esta cadastrado na parte de acesso_msn. ok

jpaulo_farias,

Eu fiz tudo isso que você menciona. OK? Só que quando utilizo o WINDOWS LIVE MESSENGER o mesmo não autentica, nem se quer aparece a CAIXA DE AUTENTICAÇÃO do proxy/browser. Só que se eu utilizar o WEBMESSENGER funciona numa boa. Aparece a CAIXA DE AUTENTICAÇÃO do proxy/browser, digito os repectivos dados e o mesmo entra no MESSENGER.

Outra coisa: Se eu FIXAR usuario e senha(PROXY) no MSN aí funciona, só que fura o processo de controle, pois qualquer usuário passaria a utilizar o WINDOWS LIVE MESSENGER da referida estação. Coisa que eu não quero!

Muitissímo obrigado pela sua atenção e aguardo comentários.

?comentario=
Estava lendo artigos sobre bloqueio de msn e orkut,pois preciso fazer isso em uma empresa.Li e gostei porque parece queé o que procuro,mas precisaria bloquear por IP ,pois não é todos os usuarios que vou bloquear.Isso é possivel????????

Desculpem a demora, mas acho que nunca é tarde demais.
Montei o squid.conf exatamente como neste tutotial e estaria funcionando perfeitamente se nao fosse por um problema. Não consigo acessar nenhum site por https, dá a seguinte mensagem:

Method Not Allowed

The requested method CONNECT is not allowed for the URL /.
Apache/2.2.3 (Debian) mod_jk/1.2.18 Server at www2.bancobrasil.com.br Port 443

O que pode ser? Faz 2 dias que to quebrando a cabeça mas não encontrei solução.

Aguardo comentários....

parabéns,

Excelente artigo JP!

valtinho,

verifica as configurações das ACLs ou então verifica teu firewall

Ola, sou novato em linux, instalei recentemente o ubuntu 8.04 e estou amando, apesar deste tutorial ser perfeito, porém no meu caso como sou leigo no assunto precisarei de uma, rsrrs
Segui os passos explicados no tutorial, não estou conseguindo configurar o squid.conf, a duvida é eu tenho que deletar tudo que esta la e colar o exemplo acima.

Ola ricardoimlima,

Cara vc ate pode copia o squid.conf todo so que vc vai ter que fazer algumas mudaças adptando a sua rede, e vc vai ter que criar 2 pastas a pasta acesso e bloqueio com esta no tutorial.
As quando agente acha um tutorial sempre queremos copia-lo exatamente so tenta olhar detalhamente os exemplos e so adapta a sua rede.

Ass. João Paulo

Parece que o problema em geral é o bloqueio de dominios, vários?
Pode-se fazer o seguinte, fiz na empresa e o pessoal odiou, menos o chefe que foi quem determinou que fizesse.
Bloqueei tudo e fui liberando conforme a necessidade, bloqueia tudo mesmo.
No squid.conf coloca as acl


acl bloqueados url_regex -i "/etc/squid/bloqueados"
http_access deny bloqueados
* neste arquivo você coloca todo o alfabeto, uma letra por linha
a
A
b
B....
1
2...
e os numeros do 1 ao 0, isso bloqueia tudo, feito isso coloca no arquivo "liberados" os dominios permitidos, um por linha.
Usei este sistema na empresa e funcionou beleza, agora estou instalando um novo servidor, e vamos ver se vai continuar com o mesmo sistema, tambem pode fazer acesso por niveis de privilégio.
acl liberados url_regex -i "/etc/squid/liberados"
http_access allow liberados

Socorro alguém poderia me ajudar? Estou com um problema com Squid e autenticação de usuários. Alguém poderia me ajudar? http://www.vivaolinux.com.br/topico/Servidores-Linux-para-iniciantes/Problemas-com-autenticacao-de-s...