Squid

Olá,
supondo que eu tenha o squid rodando perfeitamente numa rede, de forma transparente...

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

perfeito, quando um usuário tentar acessar algum site ele vai redirecionar da porta 80 pra 3128

PORÉM, se existir um site da web rodando na porta 7000 (por exemplo)
http://www.sitequalquer.com.br:7000

essa requisição não passaria pelo proxy e o usuário conseguiria acessar a net.

alguém sabe se essa teoria funciona?
(não tenho como testar isso, eu simplesmente fiquei encanado)

valeu

Citação:

---

Postado originalmente por juniox

Olá,
supondo que eu tenha o squid rodando perfeitamente numa rede, de forma transparente...

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128

perfeito, quando um usuário tentar acessar algum site ele vai redirecionar da porta 80 pra 3128

PORÉM, se existir um site da web rodando na porta 7000 (por exemplo)
http://www.sitequalquer.com.br:7000

essa requisição não passaria pelo proxy e o usuário conseguiria acessar a net.

alguém sabe se essa teoria funciona?
(não tenho como testar isso, eu simplesmente fiquei encanado)

valeu

---

Sim não iria passar pelo proxy, o que vc pode fazer e bloquear o repasse de pacotes para a maquina do usuario atraves do firewall e liberar apenas o essencial como a porta 80 que e direcionada, veja opcoes do iptables e a chain FORWARD. normalmente os sites trabalham na porta 80.

Caro,

Basta colocar assim:

acl Safe_ports port 7000

Até,

Quer uma boa tecnica :D

Entra no google procura por open proxy heheheheh

pega um server que estiver aberto cadastra no navegador hehehehehe
e navegue sem passar pelo proxy local !

Legal.

Para evitar esse tipo de problema faça no iptables

IPTABLES -A FORWARD -p tcp --dport 1080 -j DROP -> SOCKS
IPTABLES -A FORWARD -p tcp --dport 8080 -j DROP -> PROXY
IPTABLES -A FORWARD -p tcp --dport 8081 -j DROP -> PROXY
IPTABLES -A FORWARD -p tcp --dport 3128 -j DROP -> SQUID
IPTABLES -A FORWARD -p tcp --dport 81 -j DROP -> PROXY

Ou redirecione o fluxo das portas para um squid honey pot deixe o usuario navegando e depois apresente o log para o chefe dele !

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 1080 -j REDIRECT --to-port 3129

Sacou usuario safado se pega pela orelha !