Squid: не работает acl с применением srcdomain

Проблемы с установкой, настройкой и работой системных и сетевых программ.

Модераторы: GRooVE, alexco

Правила форума
Убедительная просьба юзать теги [code] при оформлении листингов.
Сообщения не оформленные должным образом имеют все шансы быть незамеченными.
Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-07-26 17:53:19

Друзья, не пойму почему не работают acl с использованием srcdomain
acl ALLOWALL srcdomain "/usr/local/etc/squid/allowall.acl"
acl ALLOWALLIP src "/usr/local/etc/squid/allowallip.acl"
acl ALLOWSITES dstdomain "/usr/local/etc/squid/allowsites.acl"

acl BLOCKSITES dstdomain "/usr/local/etc/squid/blocksites.acl"
acl BLOCKSITES_REGEX dstdom_regex -i "/usr/local/etc/squid/blocksites_regex.acl"

acl WORKTIME time 10:00-19:00

http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

http_access allow ALLOWALLIP
http_access allow ALLOWALL
http_access allow ALLOWSITES

http_access deny WORKTIME BLOCKSITES
http_access deny BLOCKSITES_REGEX
в allowall.acl я пробовал указывать как короткое имя компьютера, так и полное доменное имя.
с сервака оба имени нормально резольвятся, как в прямом направлении так и в обратном.

остальные acl работают нормально, затык именно в srcdomain
в сети адреса выдаются по dhcp и прописывать ip не желательно.
Мы стены ломаем силой ума. © Кирпичи.

Хостинговая компания Host-Food.ru
Хостинг HostFood.ru
 

Услуги хостинговой компании Host-Food.ru

Хостинг HostFood.ru

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

Аватара пользователя
ADRE
майор
Сообщения: 2641
Зарегистрирован: 2007-07-26 8:53:49
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение ADRE » 2010-08-10 16:25:05

http_access allow ALLOWALL - разрешено всё, днс запрёщен? или у вас по виндузятным портам всё шастает?
//del

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-10 19:31:05

ADRE писал(а):http_access allow ALLOWALL - разрешено всё, днс запрёщен? или у вас по виндузятным портам всё шастает?
Squid работает как прозрачный прокси блокируя всего несколько сайтов, весь остальной трафик разрешен.
http_access allow ALLOWALL не отрабатывает.
Мы стены ломаем силой ума. © Кирпичи.

snorlov
подполковник
Сообщения: 3810
Зарегистрирован: 2008-09-04 11:51:25
Откуда: Санкт-Петербург

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение snorlov » 2010-08-10 23:24:21

kabachok писал(а):Друзья, не пойму почему не работают acl с использованием srcdomain
acl ALLOWALL srcdomain "/usr/local/etc/squid/allowall.acl"
в allowall.acl я пробовал указывать как короткое имя компьютера, так и полное доменное имя.
с сервака оба имени нормально резольвятся, как в прямом направлении так и в обратном.

остальные acl работают нормально, затык именно в srcdomain
в сети адреса выдаются по dhcp и прописывать ip не желательно.
Почитайте документацию, там после srcdomain идет перечисление доменов, а не имя файла, в котором они перечислены.
Используйте конфигурацию

Код: Выделить всё

acl ALLOWALL srcdom_regex -i "/usr/local/etc/squid/allowall.acl"

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-11 0:32:37

Друзья, не отрабатывает, хоть ты тресни, такое чувство что squid не резольвит имя хоста по ip
Мы стены ломаем силой ума. © Кирпичи.

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-11 0:36:01

а можно это как-то отдебажить? может в логи писать имя хоста? Это возможно?
Мы стены ломаем силой ума. © Кирпичи.

Burner
лейтенант
Сообщения: 693
Зарегистрирован: 2009-06-14 7:02:26

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение Burner » 2010-08-11 5:47:34

если вам нужно выдать доступ на подсеть, так и разрешайте по маске, а не под днс

snorlov
подполковник
Сообщения: 3810
Зарегистрирован: 2008-09-04 11:51:25
Откуда: Санкт-Петербург

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение snorlov » 2010-08-11 10:21:19

kabachok писал(а):а можно это как-то отдебажить? может в логи писать имя хоста? Это возможно?
Начните с squid.conf, проверьте наличие опций

Код: Выделить всё

dns_nameservers <ip вашего внутреннего dns >
log_fqdn on
после чего перестартуйте(переконфигурируйте) squid, несколько запросов и банально смотрите squid.log, там все просто

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-12 10:21:30

snorlov писал(а):
kabachok писал(а):а можно это как-то отдебажить? может в логи писать имя хоста? Это возможно?
Начните с squid.conf, проверьте наличие опций

Код: Выделить всё

dns_nameservers <ip вашего внутреннего dns >
log_fqdn on
после чего перестартуйте(переконфигурируйте) squid, несколько запросов и банально смотрите squid.log, там все просто
Строки добавил, в логи пишутся имена хостов, но acl все равно не работает, не понимаю почему :(
Мы стены ломаем силой ума. © Кирпичи.

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-12 10:30:18

Всем спасибо, проблема обнаружилась, обратные имена хостов под Win 7 почему-то не удается получить, проблема не в squid.
Заметил это при просмотре логов, имя моего компа в логах не фигурирует, только ip
Мы стены ломаем силой ума. © Кирпичи.

snorlov
подполковник
Сообщения: 3810
Зарегистрирован: 2008-09-04 11:51:25
Откуда: Санкт-Петербург

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение snorlov » 2010-08-12 10:47:48

kabachok писал(а): Строки добавил, в логи пишутся имена хостов, но acl все равно не работает, не понимаю почему :(
Вы наверное не понимаете логику работы squid, если запрос прошел проверку на провильность и ему разрешено, то в дальнейшем он не обрабатывается.
В вашем конфиге

Код: Выделить всё

http_access allow ALLOWALLIP
http_access allow ALLOWALL
если получено разрешение на доступ по ALLOWALLIP, то проверка на ALLWALL производится уже не будет.
Повторюсь, почитайте документацию, посмотрите на дефолтный конфиг сквида, на мой взгляд там все прозрчно написано

Аватара пользователя
kabachok
мл. сержант
Сообщения: 148
Зарегистрирован: 2009-01-20 2:13:18
Откуда: msk.ru
Контактная информация:

Re: Squid: не работает acl с применением srcdomain

Непрочитанное сообщение kabachok » 2010-08-12 13:02:36

snorlov писал(а):
kabachok писал(а): Строки добавил, в логи пишутся имена хостов, но acl все равно не работает, не понимаю почему :(
Вы наверное не понимаете логику работы squid, если запрос прошел проверку на провильность и ему разрешено, то в дальнейшем он не обрабатывается.
В вашем конфиге

Код: Выделить всё

http_access allow ALLOWALLIP
http_access allow ALLOWALL
если получено разрешение на доступ по ALLOWALLIP, то проверка на ALLWALL производится уже не будет.
Повторюсь, почитайте документацию, посмотрите на дефолтный конфиг сквида, на мой взгляд там все прозрчно написано
Это я прекрасно понимаю, проблема оказалась в другом, о чем я отписался выше.
Спасибо за уделенное время и помощь.
Мы стены ломаем силой ума. © Кирпичи.