forum.lissyara.su

Добрый вечер, уважаемые формучане. Итак, сразу к делу:
FreeBSD 6.2
Настравивал по статье: http://www.lissyara.su/?id=1026
содержание /usr/local/etc/squid/squid.conf:

http_port 3128
icp_port 0
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
cache_mem 128 MB
maximum_object_size 8092 KB
maximum_object_size_in_memory 512 KB
cache_dir ufs /usr/local/squid/cache 2048 64 256
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
visible_hostname mail.my_domain.ru
tcp_outgoing_address 222.222.222.222
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl all src 0.0.0.0/0.0.0.0
acl localhost src 127.0.0.0/8
acl our_networks src 192.168.0.0/24

httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_uses_host_header on

coredump_dir /usr/local/squid/cache
pid_filename /usr/local/squid/logs/squid.pid



Приведенный выше конфиг вызывает следующие ошибки (делаем parse):

WARNING: '0.0.0.0/0.0.0.0' is a subnetwork of '0.0.0.0/0.0.0.0'
WARNING: because of this '0.0.0.0/0.0.0.0' is ignored to keep splay tree searching predictable
WARNING: You should probably remove '0.0.0.0/0.0.0.0' from the ACL named 'all'
WARNING: '127.0.0.1' is a subnetwork of '127.0.0.0/255.0.0.0'
WARNING: because of this '127.0.0.0/255.0.0.0' is ignored to keep splay tree searching predictable
WARNING: You should probably remove '127.0.0.1' from the ACL named 'localhost'

Никак не пойму в чем дело. Прошу Вашей помощи. Спасибо огромное!

у тебя в конфиге есть только acl а где http_access?
тоесть у тебя не ошибки а предуприждения что есть acl но нету к к нему htt_access.

Вставь после acl.

http_access allow localhost // Разрешить acl localhost
http_access allow our_networks // разрешить acl our_networks
http_access deny all // запрепить acl all

у тебя сожет пользоватся squid локалсох и сетка 192.168.0.0/24

Djo писал(а):у тебя в конфиге есть только acl а где http_access?
тоесть у тебя не ошибки а предуприждения что есть acl но нету к к нему htt_access.

Вставь после acl.

http_access allow localhost // Разрешить acl localhost
http_access allow our_networks // разрешить acl our_networks
http_access deny all // запрепить acl all

у тебя сожет пользоватся squid локалсох и сетка 192.168.0.0/24

Внес исправления. Не помогает. Пишет те же самые ошибки

up жду совета. Интересно, а что думает по этому поводу lissyara?

думаю, что неплохо бы нормально оформлять посты, используя конопоччку

В общем так. Путем метода математической индукции и метода ненаучного тыка понял, что данные warining, по борьбе с которыми никто так и не дал ясного и внятного ответа никак не влияют на работу. Так как пробовал сделать то же самое, но на другом железе - этих сообщений нет. Это радует.
Но появилась еще одна проблема: теперь при всех вышеперечисленных условиях нет выхода в Инет у клиентов. ping везде и всюду идет, а вот сам запрос, набранный в браузере, например, на yandex.ru ничерта не выдает. Но ping с клиентов по имени и по IP того же yandex.ru есть. Следовательно надо "копать" в сторону DNS. В файле resolv.conf прописываем: Результата нет.
Помогите, плиз.

гм...squid научилса проксировать icmp? гыыы
чтобы выяснить работает у тебя днс или нет заюзай лутше nslookup с клиента и вообще, почитай про NAT и прокси сервер и какая между ними разница.

Всем доброго времени суток.
Помогите решить вопрос.
Здача следующая: Нужно разрешить работу ICQ (клиент QIP 2005) через SQUID в определенны часы для определенных пользователей локальной сети, при этом ограничений по времени на доступ к веб быть не должно для всех. QIP настроен на работу со SQUID по HTTPS (443 порт) Прочитав все инструкции и наставления смастерил следующую конфигурацию, однако пользователи как имели возможность подключать свои ICQ-клиенты так и так и продолжают ей пользоваться.

Пробовал устанавливать разные комбинации acl для ICQ в правилах доступа, ничего не меняется...

-----------------------------------МОЯ КОНФИГУРАЦИЯ---------------------


#Squid normally listens to port 3128
http_port 192.168.0.1:3128

hierarchy_stoplist cgi-bin ?

acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY

acl apache rep_header Server ^Apache
broken_vary_encoding allow apache



access_log c:/squid/var/logs/access.log squid
cache_log c:/squid/var/logs/cache.log
cache_store_log c:/squid/var/logs/store.log
error_directory c:/squid/share/errors/Russian-1251
mime_table c:/squid/etc/mime.conf
pid_filename c:/squid/var/logs/squid.pid


auth_param basic children 20
auth_param basic credentialsttl 2 hours
auth_param basic program c:/squid/libexec/mswin_auth.exe

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320


acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8


#acl intranet src 192.168.1.0/255.255.255.0
acl intranet proxy_auth REQUIRED

acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
#acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

# ICQ rejecting
acl Comp1 src 192.168.0.2
acl Comp2 src 192.168.0.25
acl Comp3 src 192.168.0.10
acl Comp4 src 192.168.0.50
acl Comp5 src 192.168.0.40

acl ICQ_DOMAIN dstdomain login.icq.com login.aol.com
acl ICQ_ADDR dst 64.12.0.0/16 205.188.0.0/16 194.67.0.0/16 194.186.0.0/16
acl ICQ_PORT port 443 5190
acl ICQ_PROTO proto HTTPS

acl Timeallow time 13:00-14:00

#Recommended minimum configuration:
#
# Only allow cachemgr access from localhost
# http_access deny http
http_access allow manager localhost
http_access allow intranet
http_access deny manager


http_access allow Comp1 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp1 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp2 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp2 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp3 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp3 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp4 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp4 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp5 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp5 ICQ_ADDR ICQ_PORT CONNECT

#always_direct allow ICQ_DOMAIN ICQ_PORT CONNECT
#always_direct allow ICQ_ADDR ICQ_PORT CONNECT

http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

http_access deny all

http_reply_access allow all
icp_access allow all
visible_hostname 127.0.0.1

-----------------------------------МОЯ КОНФИГУРАЦИЯ---------------------

Кто-нибудь может показать что не так и как исправить?

насколько я вижу - 443 порт упомянут аж в 3-х правилах.. определитесь все таки и запихните его в одно

и последнее правило разрешает собственно все коннекты на 443 порт, отбрасывая все ваши предыдущие правила

Если честно не совсем понял как мне сделать одно правило для 443 порта если мне нужно использовать его через браузер, наприер. Видимо я не совсем понял как формируются правила...понял что приоритет правил убывает сверху вниз.
Вообще эти 2 строчки:
acl SSL_ports port 443 563
acl Safe_ports port 443 563 # https, snews
остались из дефолной конфигурации.
Т.е. получается что если я разрешил работу с каким-то портом (не конкретизировав каким методом работать с ним и т.п.), то последующие правила полученные путем дополнения к предыдущему не будут игнорироваться не зависимо от места расположения их в файле кнфигураци (выше или ниже предыдущего првила)?

Что-то с ICQ какое-то безобразие...
Моя конфигурация стала выглядеть следующим образом и всеравно QIP продалжает работать. NAT на сервере не установлен, телнетом с клиентских машин по порту 443, да и по остальным к внешним хостам подключаться не получается, т.е. все одназначно идет через SQUID. QIP настроен на работу с прокси по HTTPS (порт стоит 443)

-----------------------------------МОЯ КОНФИГУРАЦИЯ---------------------

#Squid normally listens to port 3128
http_port 192.168.0.1:3128

hierarchy_stoplist cgi-bin ?

acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY

acl apache rep_header Server ^Apache
broken_vary_encoding allow apache

access_log c:/squid/var/logs/access.log squid
cache_log c:/squid/var/logs/cache.log
cache_store_log c:/squid/var/logs/store.log
error_directory c:/squid/share/errors/Russian-1251
mime_table c:/squid/etc/mime.conf
pid_filename c:/squid/var/logs/squid.pid

auth_param basic children 20
auth_param basic credentialsttl 2 hours
auth_param basic program c:/squid/libexec/mswin_auth.exe

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8

#acl intranet src 192.168.1.0/255.255.255.0
acl intranet proxy_auth REQUIRED

#acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
#acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
#acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

# ICQ rejecting
acl Comp1 src 192.168.0.2
acl Comp2 src 192.168.0.25
acl Comp3 src 192.168.0.10
acl Comp4 src 192.168.0.50
acl Comp5 src 192.168.0.40

acl ICQ_DOMAIN dstdomain login.icq.com login.aol.com
acl ICQ_ADDR dst 64.12.0.0/16 205.188.0.0/16 194.67.0.0/16 194.186.0.0/16
acl ICQ_PORT port 443 5190
acl ICQ_PROTO proto HTTPS
acl Timeallow time 13:00-14:00

# Only allow cachemgr access from localhost
# http_access deny http
http_access allow manager localhost
http_access allow intranet
http_access deny manager

http_access allow Comp1 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp1 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp2 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp2 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp3 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp3 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp4 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp4 ICQ_ADDR ICQ_PORT CONNECT
http_access allow Comp5 Timeallow ICQ_ADDR ICQ_PORT CONNECT
http_access deny Comp5 ICQ_ADDR ICQ_PORT CONNECT

#always_direct allow ICQ_DOMAIN ICQ_PORT CONNECT
#always_direct allow ICQ_ADDR ICQ_PORT CONNECT

#http_access deny !Safe_ports
#http_access deny CONNECT !SSL_ports

http_access deny all

#http_reply_access allow all
icp_access allow all
visible_hostname 127.0.0.1
-----------------------------------МОЯ КОНФИГУРАЦИЯ---------------------
Кто-нибудь может объяснить как правильно настроить правила?

просто удали строку squid по умолчанию знает что такое all, а сообщение говорит о том что "твой all" есть часть глобального) ивсе нормально будет работать и не будет предупреждений)