Страница 1 из 1
squid и 2 external acl
Добавлено: 2009-03-26 17:09:37
r0man_
Настроен squid с авторизацией в домене. Для ограничения пользователей используется своя приблуда, поключенная как external_acl, которая проверяет по БД лимит и выдает ОК или ERR. Все работает, но нужно как-то ограничить посещение запрещенных сайтов и выделить привелегированных пользователей, которые могут ходить везде. Выделил их в группу inet_full AD, но немогу увязать вместе с лимитами по трафику
Вот конфиг:
Код: Выделить всё
# авторизация
auth_param ntlm program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 10
auth_param ntlm keep_alive on
auth_param basic program /usr/local/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
#проверяем по БД лимит трафика (на выходе OK/ERR)
external_acl_type stat_db ttl=300 %LOGIN /usr/local/bin/squid/AUTH/auth
#делим юзеров по группам
external_acl_type nt_group %LOGIN /usr/local/libexec/squid/wbinfo_group.pl
#авторизованные
acl domain_users proxy_auth REQUIRED
#не исчерпавшие лимит
acl stat_db external stat_db
#ВИПы
acl inet_full external nt_group inet_full
#запрещенные домены
acl deny_domains dstdomain "/usr/local/etc/squid/ban/deny_domains"
#вот тут появились проблемы, если сделать как сейчас, у ВИПов безлимит получается - это нехорошо
http_access allow inet_full
http_access deny deny_domains
http_access allow stat_db
http_access deny all
Re: squid и 2 external acl
Добавлено: 2009-03-26 21:16:28
Kos
Re: squid и 2 external acl
Добавлено: 2009-03-26 21:45:14
hranitel_y2k
Не уверен,но,вроде, должно быть так:
Код: Выделить всё
http_access allow inet_full stat_db
http_access allow stat_db
http_access deny stat_db deny_domains
http_access deny all
Re: squid и 2 external acl
Добавлено: 2009-03-26 22:30:19
Kos
hranitel_y2k писал(а):Не уверен,но,вроде, должно быть так:
Код: Выделить всё
http_access allow inet_full stat_db
http_access allow stat_db
http_access deny stat_db deny_domains
http_access deny all
скорее уж:
Код: Выделить всё
http_access allow inet_full stat_db
http_access deny stat_db deny_domains
http_access allow stat_db
http_access deny all
Re: squid и 2 external acl
Добавлено: 2009-03-27 15:24:41
hranitel_y2k
Kos писал(а):
скорее уж:
Код: Выделить всё
http_access allow inet_full stat_db
http_access deny stat_db deny_domains
http_access allow stat_db
http_access deny all
Без разницы, сквид не файрвал. Порядок правил в нем не имеет значения,поскольку он не проверяет "до первого совпадения".
[*]r0man_ [*] Все получилось? Работает?
Re: squid и 2 external acl
Добавлено: 2009-03-27 15:48:04
skeletor
hranitel_y2k писал(а):Kos писал(а):
скорее уж:
Код: Выделить всё
http_access allow inet_full stat_db
http_access deny stat_db deny_domains
http_access allow stat_db
http_access deny all
Без разницы, сквид не файрвал. Порядок правил в нем не имеет значения,поскольку он не проверяет "до первого совпадения".
[*]r0man_ [*] Все получилось? Работает?
Как раз ошибаетесь, именно так и работает.
Вот интересно, если у тебя ACL'ы будут так идти,
что будет?
Будут ли все ходить в инет или у всех будет блочится?
А если написать так
? Попробуйте
и ощутите разницу.
Re: squid и 2 external acl
Добавлено: 2009-03-27 16:04:20
r0man_
Kos писал(а):
скорее уж:
Код: Выделить всё
http_access allow inet_full stat_db
http_access deny stat_db deny_domains
http_access allow stat_db
http_access deny all
Именно так и работает. Спасибо всем, кто откликнулся.
Re: squid и 2 external acl
Добавлено: 2009-03-27 19:04:32
hranitel_y2k
2 skeletor, Kos
сорри, я оказался не прав.
Re: squid и 2 external acl
Добавлено: 2009-03-27 20:50:35
Alex Keda
hranitel_y2k писал(а):Без разницы, сквид не файрвал. Порядок правил в нем не имеет значения,поскольку он не проверяет "до первого совпадения".
тогда единственное парвило конфига - последнее - зарубило бы всё.
в конце обычно ставят дени алл
))