Versão Imprimível
Oi galera,
Alguem sabe pq o squid pede autenticação varias vezes quando o usuario abre o internet explorer ou qq outro browser?
Geralmente ele pede 3 vezes e cancela, eu creio que o usuario tah digitando a senha errada mas percebi que tem essas 3 vezes e cancela e depois que o usuario atualiza pede dinovo e cancela e quando atualiza mais uma vez entra direto, pq será?
Caro,
Pode ser as acls que estao errada, que modulo de autenticação vc esta usando?
até,
eh que nao sei muito sobre squid, mas umas coisas que sei q eh um proxy transparente.
Squid com proxy autenticado e transparente???? vc está certo disso?
Caro Thiago....
Seguinte... ake eu uso a autenticacao do squid no browser e o barramento de sites, logo abaixo estao as regras acl do squid :
auth_param basic program /usr/bin/ncsa_auth /etc/squid/squid_passwd
acl passwd proxy_auth REQUIRED
acl segura url_regex "/etc/squid/segura.txt"
http_access deny segura
As duas primeiras me diz q a autenticacao eh requerida, e as duas ultimas eh o barramento.... dento do arquivo segura.txt digito as palavras (por linha) q existem nos sites barrados... tipo sexo, videos, fotos, porno, etc. A autenticacao deve ser pedida somente uma vez a cada janela (navegador) aberta ....
Eu tenho tres tipo de autenticação, de usuario chefe, dos sites e por horarios tenho algumas coisa do meu conf assim:
e nas acls tem:Citação:
auth_param basic program /usr/lib/squid/pam_auth
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
realmente eh uma coisa muito complicada para mim consegui entender muito bem como fazer uma acl, mas ainda nao entendi o pq dele pedir mais de uma vez.Citação:
acl pass proxy_auth REQUIRED
http_access deny pass
Cara na ultima vez que andei estudando sobre isso, vi muitos comentários e artigos que o squid autenticado não funciona com proxy transparente!!!!
Isso já mudou?
Eh nao sei se mudou ou nao sei pois comecei a mexer com squid agora mas sei que com squid autenticado eh possivel bular somente tirando o proxy do navagador se nao me corrijam se eu estiver errado, ja aqui tem essa autenticação mas se nao tiver o proxy no navagador nao tem acesso a net de jeito nenhum.
Eu tenho squid autenticado aqui e nao da para eles burlarem, pq eu bloqueio no firewall a porta 80 entao quem tirar nao navega!!!
;)
talvez seja isso vc encaminha as requisicões da porta 80 para a 3128 do squid neh?
talvez seja isso mesmo que role aqui mas nao tenho certeza.
É o seguinte:
O proxy transparente é aquele que nao precisa ser configurado nas estações, que é o que voce citou acima.... quando se coloca uma regra no firewall direcionando as requisições que vao para porta 80 para porta do seu proxy, no seu caso a 3128...
Outra forma de proxy que não é transparente e essa sim funciona com autenticação, é apenas configurar no navegador de cada estação o proxy, e para os usuarios nao burlarem simplesmente tirando o proxy, geralmente se coloca uma regra no firewall para bloquear requisições para porta 80, ai os usuarios espertinhos que removerem o proxy ficam sem navegação....
entendeu agora???
Falow!!
Até +
Fábio Jung
Adm. Redes
Só pra confirmar... Proxy transparente e autenticado funciona sim. Não tenha dúvidas!
NÂO !Citação:
Postado originalmente por aledr
Squid nao tem suporte a proxy transparente com autenticação, ou um ou outro.
http://www.squid-cache.org/Doc/FAQ/FAQ-17.html#ss17.16
Posso garantir para você que funciona... pois vivencio isso na prática, embora esteja escrito nesta faq que não.Citação:
Postado originalmente por 1c3_m4n
Vou até dar uma olhada nos arquivos de configurações pra ver se posto aqui algo interessante para vocês...
posta sim, pq se eh transparente mesmo a autenticacao nao eh pra funcionar, agora se vc conseguiu uma maneira de fazer isso eh bom avisar os mantenedores do projeto e avisar que vc conseguiu pois eles mesmo dizem que nao da
Claro, depois que eu postar vc tira suas conclusões, aí se quiser avisa os mantenedores...
soh pra garantir me fala uma coisa, nas maquinas dos clientes eles nao tem o proxy configurado manualmente nao neh
De modo algum...
Concordo, pois se os próprios mantenedores do pacote dizem que NÃO dá, creio que voce deva nos mostrar como vez e mostrar até mesmo para os mantenedores do pacote...
e outra, se funcionou mesmo, posta ai pra gente tambem, pois isso será util para muita gente...
Falô!!
Vou verificar isso agora pra gente tirar a dúvida....
Lá vai o squid.conf:
------------- Início do squid.conf ----------------------
# NETWORK OPTIONS
# -----------------------------------------------------------------------------
# http_port 3128
# ssl_unclean_shutdown off
# icp_port 3130
# htcp_port 4827
# udp_incoming_address 0.0.0.0
# udp_outgoing_address 255.255.255.255
visible_hostname smart
# OPTIONS WHICH AFFECT THE NEIGHBOR SELECTION ALGORITHM
# -----------------------------------------------------------------------------
# icp_query_timeout 0
# maximum_icp_query_timeout 2000
# mcast_icp_query_timeout 2000
# dead_peer_timeout 10 seconds
hierarchy_stoplist cgi-bin \?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
# OPTIONS WHICH AFFECT THE CACHE SIZE
# -----------------------------------------------------------------------------
# cache_mem 8 MB
# cache_swap_low 90
# cache_swap_high 95
# maximum_object_size 4096 KB
# minimum_object_size 0 KB
# maximum_object_size_in_memory 8 KB
# ipcache_size 1024
# ipcache_low 90
# ipcache_high 95
# fqdncache_size 1024
# cache_replacement_policy lru
# memory_replacement_policy lru
# LOGFILE PATHNAMES AND CACHE DIRECTORIES
# -----------------------------------------------------------------------------
cache_dir ufs /var/squid/cache 100 16 256
cache_access_log /var/squid/logs/access.log
cache_log /var/squid/logs/cache.log
cache_store_log /var/squid/logs/store.log
# emulate_httpd_log off
# log_ip_on_direct on
# mime_table /usr/local/squid/etc/mime.conf
# log_mime_hdrs off
pid_filename /var/squid/logs/squid.pid
# debug_options ALL,1
# log_fqdn off
# client_netmask 255.255.255.255
# OPTIONS FOR EXTERNAL SUPPORT PROGRAMS
# -----------------------------------------------------------------------------
# ftp_user Squid@
# ftp_list_width 32
# ftp_passive on
# ftp_sanitycheck on
# cache_dns_program /usr/local/squid/libexec/dnsserver
# dns_children 5
# dns_retransmit_interval 5 seconds
# dns_timeout 5 minutes
# dns_defnames off
# hosts_file /etc/hosts
# diskd_program /usr/local/squid/libexec/diskd
# unlinkd_program /usr/local/squid/libexec/unlinkd
# pinger_program /usr/local/squid/libexec/pinger
# redirect_children 5
# redirect_rewrites_host_header on
#auth_param digest program <uncomment and complete this line>
#auth_param digest children 5
#auth_param digest realm Squid proxy-caching web server
#auth_param digest nonce_garbage_interval 5 minutes
#auth_param digest nonce_max_duration 30 minutes
#auth_param digest nonce_max_count 50
#auth_param ntlm program <uncomment and complete this line to activate>
#auth_param ntlm children 5
#auth_param ntlm max_challenge_reuses 0
#auth_param ntlm max_challenge_lifetime 2 minutes
#auth_param basic program <uncomment and complete this line>
auth_param basic children 5
auth_param basic realm Squid proxy-caching web server
auth_param basic credentialsttl 2 hours
# authenticate_cache_garbage_interval 1 hour
# authenticate_ttl 1 hour
# authenticate_ip_ttl 0 seconds
# OPTIONS FOR TUNING THE CACHE
# -----------------------------------------------------------------------------
# wais_relay_port 0
# request_header_max_size 10 KB
# request_body_max_size 0 KB
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
# quick_abort_min 16 KB
# quick_abort_max 16 KB
# quick_abort_pct 95
# negative_ttl 5 minutes
# positive_dns_ttl 6 hours
# negative_dns_ttl 5 minutes
# range_offset_limit 0 KB
# TIMEOUTS
# -----------------------------------------------------------------------------
# connect_timeout 2 minutes
# peer_connect_timeout 30 seconds
# read_timeout 15 minutes
# request_timeout 5 minutes
# persistent_request_timeout 1 minute
# client_lifetime 1 day
# half_closed_clients on
# pconn_timeout 120 seconds
# ident_timeout 10 seconds
# shutdown_lifetime 30 seconds
# ACCESS CONTROLS
# -----------------------------------------------------------------------------
#Examples:
#acl myexample dst_as 1241
#acl password proxy_auth REQUIRED
#acl fileupload req_mime_type -i ^multipart/form-data$
#acl javascript rep_mime_type -i ^application/x-javascript$
#
#Recommended minimum configuration:
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 500 # smart
acl Safe_ports port 2700 # porta de login 2700
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
#http_access deny to_localhost
acl hotmail_domains dstdomain .hotmail.msn.com .hotmail.com .passport.net
header_access Accept-Encoding deny hotmail_domains
acl msnmessenger url_regex -i gateway.dll
acl MSN req_mime_type -i ^application/x-msn-messenger$
#
# INSERT YOUR OWN RULE(S) HERE TO ALLOW ACCESS FROM YOUR CLIENTS
#
#acl our_networks src 192.168.1.0/24 192.168.2.0/24
#http_access allow our_networks
# http_reply_access allow all
http_reply_access allow all
# icp_access deny all
icp_access allow all
# miss_access allow all
# ident_lookup_access deny all
# reply_body_max_size 0 allow all
# ADMINISTRATIVE PARAMETERS
# -----------------------------------------------------------------------------
# cache_mgr webmaster
# cache_effective_user nobody
# OPTIONS FOR THE CACHE REGISTRATION SERVICE
# -----------------------------------------------------------------------------
# announce_period 1 day
# announce_host tracker.ircache.net
# announce_port 3131
# HTTPD-ACCELERATOR OPTIONS
# -----------------------------------------------------------------------------
# httpd_accel_port 80
# httpd_accel_single_host off
# httpd_accel_with_proxy off
# httpd_accel_uses_host_header off
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
# MISCELLANEOUS
# -----------------------------------------------------------------------------
# dns_testnames netscape.com internic.net nlanr.net microsoft.com
# logfile_rotate 10
# append_domain .yourdomain.com
# tcp_recv_bufsize 0 bytes
# memory_pools on
# forwarded_for on
# log_icp_queries on
# icp_hit_stale off
# minimum_direct_hops 4
# minimum_direct_rtt 400
# store_avg_object_size 13 KB
# store_objects_per_bucket 20
# client_db on
# netdb_low 900
# netdb_high 1000
# netdb_ping_period 5 minutes
# query_icmp off
# test_reachability off
# buffered_logs off
# reload_into_ims off
# icon_directory /usr/local/squid/share/icons
# error_directory /usr/local/squid/share/errors/English
# minimum_retry_timeout 5 seconds
# maximum_single_addr_tries 3
# snmp_port 3401
#
#Example:
# snmp_access allow snmppublic localhost
# snmp_access deny all
#
#Default:
# snmp_access deny all
# snmp_incoming_address 0.0.0.0
# snmp_outgoing_address 255.255.255.255
# as_whois_server whois.ra.net
# as_whois_server whois.ra.net
# wccp_router 0.0.0.0
# wccp_version 4
# wccp_incoming_address 0.0.0.0
# wccp_outgoing_address 255.255.255.255
# DELAY POOL PARAMETERS (all require DELAY_POOLS compilation option)
# -----------------------------------------------------------------------------
# delay_pools 0
#
#Example:
# delay_access 1 allow some_big_clients
# delay_access 1 deny all
# delay_access 2 allow lotsa_little_clients
# delay_access 2 deny all
#
#Default:
# none
#delay_parameters 1 -1/-1 8000/8000
#delay_parameters 2 32000/32000 8000/8000 600/8000
# delay_initial_bucket_level 50
# incoming_icp_average 6
# incoming_http_average 4
# incoming_dns_average 4
# min_icp_poll_cnt 8
# min_dns_poll_cnt 8
# min_http_poll_cnt 8
# max_open_disk_fds 0
# offline_mode off
# uri_whitespace strip
# acl buggy_server url_regex ^http://....
# broken_posts allow buggy_server
# mcast_miss_addr 255.255.255.255
# mcast_miss_ttl 16
# mcast_miss_encode_key XXXXXXXXXXXXXXXX
# nonhierarchical_direct on
# prefer_direct off
# strip_query_terms on
# coredump_dir none
coredump_dir /usr/local/squid/var/cache
# redirector_bypass off
# ignore_unknown_nameservers on
# digest_generation on
# digest_bits_per_entry 5
# digest_rebuild_period 1 hour
# digest_rewrite_period 1 hour
# digest_swapout_chunk_size 4096 bytes
# digest_rebuild_chunk_percentage 10
# client_persistent_connections on
# server_persistent_connections on
# pipeline_prefetch off
# request_entities off
# high_response_time_warning 0
# high_page_fault_warning 0
# high_memory_warning 0
# store_dir_select_algorithm least-load
# ie_refresh off
# vary_ignore_expire off
# sleep_after_fork 0
acl login2700 url_regex -i url.de.login
http_access allow login2700
# CONFIGURACOES DE AUTENTICACAO DO USUARIO (DINAMICA)
# -----------------------------------------------------------------------------
acl liberados src "/usr/local/squid/etc/ips.liberados"
http_access allow liberados
http_access deny msnmessenger
http_access deny MSN
http_access deny all
------------- Fim do squid.conf ----------------------
Opa ja veio.. e é só colocar o squid conf e editaro proxy para mandar as requisições da porta 80 para 3128?/
eh pela tua conf vc ta usando proxy transparente sim, mas cade a autenticacao?
#acl password proxy_auth REQUIRED
#auth_param basic program <uncomment and complete this line>
Calma galera ainda to fazendo os posts!!!
Completando o post anterior com a regra do iptables pro proxy transparente e com a paradinha do Conectividade Social, do jeitinho que está no meu sistema:
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -s 0/0 -d ! 200.201.0.0/16 -j REDIRECT --to 3128
deve ser isso --> acl login2700 url_regex -i url.de.login
http_access allow login2700
Exatamente...Citação:
Postado originalmente por x-fabio-x
Na url.de.login, existe uma página que faz a autenticação através de uma pop-up, essa autenticação vai dar acesso ao webmail, o proxy (com a possibilidade de regras individuais ou por grupo), e o comunicador interno.
Errrrr eh por isso que vc ta falando que funciona... funciona nda, vc nao ta usando autenticacao nesse seu squid, vc ta autenticando em outro lugar.
Essa acl nda mais eh do q uma acl de endereco q permite acessar um outro site, e no teu caso eh esse outro "site" q faz a autenticacao e nao teu squid.
Ou seja o squid faz o proxy transparente SEM autenticação e ai esse outro site detecta q o cara ta abrindo o navegor e ELE autentica, nao o squid.
tsc tsc tsc...
Certamente que você não está entendendo o modo como funciona o squid aqui.
Ele só usa essa página pra fazer a autenticação do webmail, chat e squid juntos, num banco de dados e no próprio squid... pra você ter idéia, as regras são feitas de acordo com o nome do usuário, se não houvesse a autenticação no squid isso não seria possível, concorda?
Agora, o código da página eu num libero do jeito nenhum.
Vc nao ta entendendo... vc ta usando um agente externo pra autenticar que nao eh o mesmo que tem as regras de proxy transparente... se vc estivesse autenticando no mesmo squid vc teria aqueles parametros que passei no post anterior descomentados.
Soh pra dar um maior embasamento no q falei:
http://www.tldp.org/HOWTO/TransparentProxy-2.html#ss2.4Citação:
2.3 HTTPS
Finally, as far as transparently proxing HTTPS (e.g. secure web pages using SSL, TSL, etc.), you can't do it. Don't even ask. For the explanation, do a search for 'man-in-the-middle attack'. Note that you probably don't really need to transparently proxy HTTPS anyway, since squid can not cache secure pages.
2.4 Proxy Authentication
You cannot use Proxy Authentication transparently. See the Squid FAQ for (slightly) more details.
Essa opção: "acl password proxy_auth REQUIRED" não serve pra indicar o arquivo que contém os usuários? Se sim, não adianta usar estas linhas pra isso, pois o script que uso vai autenticar em banco de dados e no próprio squid mais tarde... é um agente externo como foi dito.Citação:
Postado originalmente por 1c3_m4n
E "auth_param basic program" não indica o "programa" responsável pela autenticação?
Então, não posso usar esse "programa" ou qualquer outro que só sirva pro squid. Se não o cara vai ter que logar no squid, depois no e-mail, e em tudo o mais que quiser usar...
aledr,
Conforme voce mesmo colocou no seu post, vc está utilizando uma pagina externa, a qual voce nao libera o codigo de jeito nenhum, então não teime que isso é um proxy autenticado.. pois conforme o ice citou em seu post anterior, o "SQUID" não funciona proxy transparente com autenticado, não rola cara!!! vce está utilizando algo seu que não faz parte do squid e nao vai compartilhar então vamos encerrar esse post!!!!!
Até mais!!
cara nao to discutindo isso to falando q o q vc usa aparentemente eh um proxy transparente autenticado, mas somente aparentemente pois vc autentica externamente! entendeu?????
Eh garotinho esperto, veio cheio de sede ao pote!!! Esse num dá pra liberar pra galera pq é segredo de estado...Citação:
Postado originalmente por x-fabio-x
Entendo sim Ice, mas o que não entendo é o seguinte: se não é autenticado, como consigo fazer as regras de acordo com o nome dos usuários?Citação:
Postado originalmente por 1c3_m4n
regra com nome de usuario nao tem nda a ver com autenticacao. vc pode criar qq acl que vc quiser com o nome que quiser
Ok, essa qualquer regra seria inteligente ao ponto de vigorar somente ao nome do usuário que eu especificar, deixando os outros usuários de modo independente?
Repito, Nome do Usuário... não nome da regra...
Pois seria legal né, colocar o nome do usuário no nome da regra e ela magicamente funcionar...
mais uma coisa, que regra com nome de usuario vc ta falando? pq no conf do teu squid nao tem nda disso, vc deve ta se referindo a regras que existem nessa maquina que efetua a autenticacao neh
Ice nao discuta isso é uma ferramenta que autentica desenvolvida por ele ou sei lá por quem, que não tem nada a ver com o squid... isso é externo ao squid, e ao meu ver isso não foge a regra de que o squid autenticado(POR ELE MESMO) nao rola com transparente..
sem mais..
Eu removi dalí... pois existem muitas regras individuais, tava meio grandinha a coisa. As regras são feitas de acordo com o usuário... Por exemplo, se quero liberar, Kazaa, E-mule, MSN, ICQ, Gnutella, Skype pra somente um usuário, crio uma regra pra isso com o nome dele, e vai servir só pra ele. Se quiser fazer a mesma coisa para um grupo, funciona só para um grupo.
Mas como o x-fabio-x disse, deve ser coisa da minha imaginação, eu não uso o nick aledr, não estou no underlinux, e não estou escrevendo este post neste exato momento... fala sério.
hauehuaheuhaeu
me da um exemplo que ai consigo explicar a "mágica", mas pelo q foi dito vc ta usando algo do tipo:
http://www.squid-cache.org/Doc/FAQ/FAQ-10.html#ss10.10
Só pra exclarecer (mais do que já está) o conceito de proxy transparente é o seguinte: um proxy que consegue exercer sua função sem que o usuário perceba (sem configuração do browser). E proxy autenticado: proxy que consegue identificar que usuário está acessando o que.
O proxy do aledr é transparente, conforme consta em seu squid.conf, mas não é autenticado, pois não há linha "auth_param basic program" nem acl do tipo "auth_proxy". Ou seja, o squid do aledr não está ciente dos usuários que estão solicitando páginas. Quem faz isso é "um agente externo" como disse o x-fabio-x. Quando o squid faz autenticação, o nome do usuario aparece no access.log. É só verificar aledr!
gente nem discutam mais sobre isso, se o aledr quiser continuar essa conversa, ele que crie outro topico na area de debates sei lá com o titulo + ou - assim:
Eu AO CONTRARIO DO que afirmam os MANTENEDORES DO PACOTE SQUID TENHO PROXY TRANSPARENTE E AUTENTICADO!!!
Mas que não tem... isso nao tem... pelo menos com o Squid autenticando, não!
Até +
Olha a data do último post: "Seg Dez 12, 2005 6:44 pm"Citação:
Postado originalmente por x-fabio-x
E nós ainda é que continuamos a discussão?!?!
Na verdade acho que vou criar um post assim: "x-fabio-x veio doidinho atrás de vida mole e saiu frustrado porque aledr não abriu o fonte da sua solução..."
peguem leve, num to afim de ficar trancando topico nao.....
Aii meu Deus em algum momento eu pedi algo para voce?? eu perguntei se foi voce que desenvolveu???? Voce é tao limitado que acha que só voce possue uma ferramenta deste tipo óóóóó descobriu o Brasil!!!! Gênio!!! Voce é o Cara!!!! D+!!!
Quero deixar bem claro que o dia que existem diversas ferramentas de autenticação externa ao SQUID, o que voce ainda por causa de uma limitação eu creio, nao conseguiu entender!
Então até mais Gênio!!
Ow Fábio, ficou bem claro que vc tava lokinho atrás disso num tava?
Depois que eu disse que num ia abrir aí vc desistiu de vez... isso é real.
Chega vai isso jah deu o que tinha que dar, o que agente tava discutindo era a questão de ser proxy transparente com autenticação, e isso já foi respondido..
#locked :(6)