Squid прокси сервер. Обсуждение установки и настройки.

[InventoR]

Всем доброго дня.
Создаю тему с глобальным названием, чтобы в неё можно было пихать все что связано с проксей сквид, её настройкой и установкой.
Начну с первой проблемки которая возникла у меня.
Есть сетка с маской 24. Стоит FreeBSD 7. Beta4. Прокси squid последней версии. Работает в прозрачном режиме.
К прокси подключен redirector режик. Все хорошо. Канал интернета 2 мегабита. 6 гиг на месяц. за сумму оплаты молчу. 7тыс.рублей.
Доменная сеть second.ru (условно). FreeBSD не входит в домен. но использует DNS сервер этого домена. Поэтому с резолвингом хостов в сети проблем нету. IP адреса назначаються через DHCP сервер путем резервирования адреса под пользователя.
Суть проблемы: появились пользователи которые тянут большие обьемы файлов. Скорость скачивания файлов ограниченна через шейпер dummynet.
Но это им не мешает осталять комп на ночь и так далее. Помню что можно через squid. Поэтому надо через squid зарезать максимальный обьем скачиваемого файла. +кадому наглому пользователю еще и по расширению скачиваемого файла.
подскажите куда рыть.

[Хостинг HostFood.ru]

Тарифы на хостинг в России, от 12 рублей: https://www.host-food.ru/tariffs/hosting/
Тарифы на виртуальные сервера (VPS/VDS/KVM) в РФ, от 189 руб.: https://www.host-food.ru/tariffs/virtualny-server-vps/
Выделенные сервера, Россия, Москва, от 2000 рублей (HP Proliant G5, Intel Xeon E5430 (2.66GHz, Quad-Core, 12Mb), 8Gb RAM, 2x300Gb SAS HDD, P400i, 512Mb, BBU):
https://www.host-food.ru/tariffs/vydelennyi-server-ds/
Недорогие домены в популярных зонах: https://www.host-food.ru/domains/

[f0s]

рыть в сторону delay_pools

Код: Выделить всё

delay_pools 2
delay_class 1 1 # admin
delay_class 2 2 # all
delay_access 1 allow admins
delay_access 1 deny all
delay_access 2 allow our_network
delay_access 2 deny all
delay_parameters 1 16000/32000
delay_parameters 2 80000/80000 9000/16000

\


в данном примере два пула: первый для админа, второй для остальных.

[squid]

Код: Выделить всё

#  TAG: reply_body_max_size     bytes allow|deny acl acl...
#        This option specifies the maximum size of a reply body in bytes.
#       It can be used to prevent users from downloading very large files,
#       such as MP3's and movies. When the reply headers are received,
#       the reply_body_max_size lines are processed, and the first line with
#       a result of "allow" is used as the maximum body size for this reply.
#       This size is checked twice. First when we get the reply headers,
#       we check the content-length value.  If the content length value exists
#       and is larger than the allowed size, the request is denied and the
#       user receives an error message that says "the request or reply
#       is too large." If there is no content-length, and the reply
#       size exceeds this limit, the client's connection is just closed
#       and they will receive a partial reply.
#
#       WARNING: downstream caches probably can not detect a partial reply
#       if there is no content-length header, so they will cache
#       partial responses and give them out as hits.  You should NOT
#       use this option if you have downstream caches.
#
#       If you set this parameter to zero (the default), there will be
#       no limit imposed.

можно привязать к определенным группам

[maradona]

Кто подскажет:
есть некоторое количество юзеров:

Код: Выделить всё

acl users src  192.168.1.5-192.168.1.100/24

есть 1 комп:

Код: Выделить всё

acl chipo myip      192.168.1.2/24 

с помощью delay_pools работает ограничение в скорости скачивания по типам файлов:

Код: Выделить всё

acl stop_http url_regex -i .\gif$ .\zip$ .\mpeg$ .\mpe$ .\mpg$ .\wav$ .\mov$ .\exe$  \.swf$ \.gif$ \.rar$ \.avi$

Код: Выделить всё

delay_class 1 1
delay_access 1 allow stop_http
delay_access 1 deny all
delay_parameters 1 16384/16384

можна ли както замутить пулами чтобы ограничение по типам файлов работало для всех кроме acl "chipo"?

[SteelS]

А как сделать что бы каждый кто подрубится к проксе мог ёё юзать ( или хотя бы ИП 192.168.0.2-192.168.254.254 )

[f0s]

очень свежая шутка

[InventoR]

Что-то не могу понять, какая опция в сквиде отвечает за такую ситуацию, юзер отслыает запрос на скачивание файла, архива к примеру на 1 или 100 мегабайт, сквид архив закачивает себе и только потом отдает юзеру.
Конфиг вот:

Код: Выделить всё

inventors# grep -v ^# squid.conf | grep -v ^$
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32
acl localnet src 192.168.10.0/27        # RFC1918 possible internal network
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access allow localhost
http_access deny all
http_port 192.168.10.1:3128 transparent
hierarchy_stoplist cgi-bin ?
cache_mem 64 MB
 maximum_object_size_in_memory 512 KB
cache_dir ufs /usr/local/squid/cache 5000 32 256
maximum_object_size 80000 KB
 cache_swap_low 80
 cache_swap_high 95
 access_log /usr/local/squid/logs/access.log squid
 cache_store_log /usr/local/squid/logs/store.log
 logfile_rotate 20
 mime_table /usr/local/etc/squid/mime.conf
 pid_filename /var/run/squid/squid.pid
 cache_log /usr/local/squid/logs/cache.log
coredump_dir /usr/local/squid/cache
 ftp_user anom@mail.ru
 ftp_passive on
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
 negative_ttl 0 seconds
 positive_dns_ttl 6 hours
 negative_dns_ttl 1 minutes
visible_hostname inv
inventors#

Код: Выделить всё

inventors# squid -v
Squid Cache: Version 3.1.0.14
configure options:  '--with-default-user=squid' '--bindir=/usr/local/sbin' '--sbindir=/usr/local/sbin' '--datadir=/usr/local/etc/squid' '--libexecdir=/usr/local/libexec/squid' '--localstatedir=/usr/local/squid' '--sysconfdir=/usr/local/etc/squid' '--with-logdir=/usr/local/squid/logs' '--with-pidfile=/usr/local/squid/squid.pid' '--enable-removal-policies=lru heap' '--disable-linux-netfilter' '--disable-linux-tproxy' '--disable-epoll' '--disable-translation' '--enable-auth=basic digest negotiate ntlm' '--enable-basic-auth-helpers=DB NCSA PAM MSNT SMB squid_radius_auth YP' '--enable-digest-auth-helpers=password' '--enable-external-acl-helpers=ip_user session unix_group wbinfo_group' '--enable-ntlm-auth-helpers=smb_lm' '--enable-negotiate-auth-helpers=squid_kerb_auth' '--enable-storeio=ufs diskd aufs' '--enable-disk-io=AIO Blocking DiskDaemon DiskThreads' '--disable-ipv6' '--enable-delay-pools' '--disable-wccp' '--enable-arp-acl' '--enable-ipfw-transparent' '--enable-kqueue' '--prefix=/usr/local' '--mandir=/usr/local/man' '--infodir=/usr/local/info/' '--build=i386-portbld-freebsd6.4' 'build_alias=i386-portbld-freebsd6.4' 'CC=cc' 'CFLAGS=-O2 -fno-strict-aliasing -pipe ' 'LDFLAGS=' 'CPPFLAGS=' 'CXX=c++' 'CXXFLAGS=-O2 -fno-strict-aliasing -pipe' --with-squid=/usr/ports/www/squid31/work/squid-3.1.0.14 --enable-ltdl-convenience
inventors#

[InventoR]

Судя по всему с такой проблемой не кто не сталкивался.

[InventoR]

Пока эта проблема закрыта, не правильно делал диагностику.

Возникла следующая: есть squid+ntlm_auth
Хочу выяснить какая система как посылает запрос на антификацию в каком формате и почему squid не пускает.
Сейчас проблема базовая в том что Windows Update в Win7 или 2008 не ходит через прокси тем более с аунтификацией.
То что netsh winhttp set proxy это отдельная тема согласен.
Но еще надо разобраться как эти системы шлют запросы на аунтификацию.

Может кто чего дельного подскажет?