squid inoperante

mas não há erros. :2in1:
Slackware 12.1, squid transparente.
o squid aqui estava funcionando há mais ou menos um mês sem problemas. De um momento para outro, simplesmente não opera mais, ou seja, não atende as requisições de acesso às paginas http.
O access.log não está registrando mais nada, está mesmo congeladão. O que já fiz:

squid ESTÁ "escutando" na porta 3128
removi o access.log e o recriei
removi o cache e o recriei (squid -z)

squid -d 255 NÃO MOSTRA ERRO:
2008/11/06 13:53:48| Starting Squid Cache version 3.0.STABLE9 for i486-slackware-linux-gnu...
2008/11/06 13:53:48| Process ID 2995
2008/11/06 13:53:48| With 1024 file descriptors available
2008/11/06 13:53:48| Performing DNS Tests...
2008/11/06 13:53:49| Successful DNS name lookup tests...
2008/11/06 13:53:49| DNS Socket created at 0.0.0.0, port 48771, FD 7
2008/11/06 13:53:49| Adding domain carv.com.br from /etc/resolv.conf
2008/11/06 13:53:49| Adding nameserver 127.0.0.1 from /etc/resolv.conf
2008/11/06 13:53:49| Adding nameserver 208.67.222.222 from /etc/resolv.conf
2008/11/06 13:53:49| Adding nameserver 208.67.220.220 from /etc/resolv.conf
2008/11/06 13:53:49| Unlinkd pipe opened on FD 12
2008/11/06 13:53:49| Swap maxSize 524288 KB, estimated 40329 objects
2008/11/06 13:53:49| Target number of buckets: 2016
2008/11/06 13:53:49| Using 8192 Store buckets
2008/11/06 13:53:49| Max Mem size: 262144 KB
2008/11/06 13:53:49| Max Swap size: 524288 KB
2008/11/06 13:53:49| Version 1 of swap file with LFS support detected...
2008/11/06 13:53:49| Rebuilding storage in /var/spool/squid (DIRTY)
2008/11/06 13:53:49| Using Least Load store dir selection
2008/11/06 13:53:49| Set Current Directory to /var/spool/squid
2008/11/06 13:53:49| Loaded Icons.
2008/11/06 13:53:49| Accepting transparently proxied HTTP connections at 128.0.11.5, port 3128, FD 14.
2008/11/06 13:53:49| HTCP Disabled.
2008/11/06 13:53:49| Ready to serve requests.
2008/11/06 13:53:49| Done reading /var/spool/squid swaplog (0 entries)
2008/11/06 13:53:49| Finished rebuilding storage from disk.
2008/11/06 13:53:49| 0 Entries scanned
2008/11/06 13:53:49| 0 Invalid entries.
2008/11/06 13:53:49| 0 With invalid flags.
2008/11/06 13:53:49| 0 Objects loaded.
2008/11/06 13:53:49| 0 Objects expired.
2008/11/06 13:53:49| 0 Objects cancelled.
2008/11/06 13:53:49| 0 Duplicate URLs purged.
2008/11/06 13:53:49| 0 Swapfile clashes avoided.
2008/11/06 13:53:49| Took 0.02 seconds ( 0.00 objects/sec).
2008/11/06 13:53:49| Beginning Validation Procedure
2008/11/06 13:53:49| Completed Validation Procedure
2008/11/06 13:53:49| Validated 25 Entries
2008/11/06 13:53:49| store_swap_size = 0
2008/11/06 13:53:50| storeLateRelease: released 0 objects

removi e (re)instalei o squid; continua sem funcionar.

Que faço agora, chamo um pai-de-santo?

por favor, eu tive que permitir livre transito da galera para a internet mas o patrão NÃO VAI ficar feliz com isso. Nem eu.
TIA.
:(

IRADO já iniciou ele em debug mod ? squid -X se nao me engano ?
assim agente pode pegar mais informacoes...

aproveitando.. welcome back :)

Citação:

Postado originalmente por scorpion

IRADO já iniciou ele em debug mod ? squid -X se nao me engano ?
assim agente pode pegar mais informacoes...

bem.. eu estava usando o squid -d 255 que apresenta as informações mais importantes; em todo caso:

a) squid -X (full debug) está aqui: pastebin - collaborative debugging tool

b) BTW, o resultado é ABSOLUTAMENTE igual ao de outra máquina, que está funcionando normalmnte, ou seja: migrei as configurações/acl's pra outra máquina, só mudei o ip-addr e botei no ar. Funciona legalzinho. Já esta aqui (a titular), nem pelamor.. :(

Citação:

Postado originalmente por scorpion

aproveitando.. welcome back :)

:)
obrigado, mano veio..

Irado deixe-me entender... se vc der um telnet pra porta 3128 ele ta escutando ??? oq rolou é que nao ta chegando requisicao é isso ???

ja tentou dar um tcpdump -vn port 3128

pra confirmar se ta chegando trafego nesse squid ?

o telnet..

[root@Srv11009:/usr/src/nagios-3.0.4#]: telnet 128.0.11.5 3128
Trying 128.0.11.5...

como vc vê, o squid não responde...

e o tcpdump:

[root@srv5:/home/oderfla$]: tcpdump -vn port 3128
tcpdump: listening on eth0, link-type EN10MB (Ethernet), capture size 96 bytes
14:49:59.733039 IP (tos 0x10, ttl 64, id 28125, offset 0, flags [DF], proto TCP (6), length 52) 128.0.11.9.55463 > 128.0.11.5.3128: S, cksum 0x1cea (correct), 2607785210:2607785210(0) win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 6>
14:50:02.730150 IP (tos 0x10, ttl 64, id 28126, offset 0, flags [DF], proto TCP (6), length 52) 128.0.11.9.55463 > 128.0.11.5.3128: S, cksum 0x1cea (correct), 2607785210:2607785210(0) win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 6>
14:50:08.730072 IP (tos 0x10, ttl 64, id 28127, offset 0, flags [DF], proto TCP (6), length 52) 128.0.11.9.55463 > 128.0.11.5.3128: S, cksum 0x1cea (correct), 2607785210:2607785210(0) win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 6>
14:50:20.729926 IP (tos 0x10, ttl 64, id 28128, offset 0, flags [DF], proto TCP (6), length 52) 128.0.11.9.55463 > 128.0.11.5.3128: S, cksum 0x1cea (correct), 2607785210:2607785210(0) win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 6>
14:50:44.729611 IP (tos 0x10, ttl 64, id 28129, offset 0, flags [DF], proto TCP (6), length 52) 128.0.11.9.55463 > 128.0.11.5.3128: S, cksum 0x1cea (correct), 2607785210:2607785210(0) win 5840 <mss 1460,nop,nop,sackOK,nop,wscale 6>

mostra que ESTÁ chegando lá; ou seja, é só o squid que finge de morto mesmo..

nota: não ha bloqueio no fwll pq o pessoal (sem o redirecionamento para 3128) navega normalmente.

irado essa maquina que vc deu telnet é a mesma que ta o squid ???

da um telnet 127.0.0.1 3128

teoricamente tem que bindar em todos os ips

Citação:

Postado originalmente por scorpion

irado essa maquina que vc deu telnet é a mesma que ta o squid ???

da um telnet 127.0.0.1 3128

teoricamente tem que bindar em todos os ips

o telnet era de fora, outra máquina na mesma rede. Vejamos:

[root@srv5:/home/oderfla$]: netstat -nlpt
Active Internet connections (only servers)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name

[...]
tcp 0 0 128.0.11.5:3128 0.0.0.0:* LISTEN 3216/(squid)
[..]
tá escutando, pois :)

[root@srv5:/home/oderfla$]: telnet 127.0.0.1 3128
Trying 127.0.0.1..
telnet: connect to address 127.0.0.1 Connection refused

mas recusa-se a atender :(

ou seja.. NÃO QUER MESMO, tanto faz interno quanto externo.

nota: êle NÃO OUVE em todos os endereços - nem pode, é um gw. Só ouve na eth-interna (LAN).

Irado manda um netstat -na | grep 3128

so pra desencargo de consciência.

aproveita e manda da propria maquina do squid

telnet 128.0.11.5 3128

tambem aproveita e cola aqui um

iptables -L -n -v

e
iptables -L -n -t nat -v

[root@srv5:/home/oderfla$]: netstat -na | grep 3128
tcp 0 0 128.0.11.5:3128 0.0.0.0:* LISTEN

ah, êsse vc já tinha visto antes, ô scorpion.. prestatenção, minino..
[root@srv5:/home/oderfla$]: iptables -L -n -v
Chain INPUT (policy DROP 165 packets, 16051 bytes)
pkts bytes target prot opt in out source destination
2 205 ACCEPT all -- lo * 0.0.0.0/0 0.0.0.0/0
127 6900 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
250 30632 REJECT udp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 137:139 reject-with icmp-port-unreachable
0 0 REJECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 137:139 reject-with icmp-port-unreachable
0 0 LOG all -- eth1 * 128.0.0.0/16 0.0.0.0/0 LOG flags 0 level 7 prefix `** INPUT ESTRANHO **'
0 0 REJECT tcp -- eth0 * !128.0.1.3 0.0.0.0/0 tcp dpt:25 reject-with icmp-port-unreachable
0 0 ACCEPT tcp -- eth0 * 128.0.0.0/16 0.0.0.0/0 multiport dports 25,5435,10000
1 72 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 multiport dports 53,123
0 0 ACCEPT udp -- eth0 * 128.0.0.0/16 0.0.0.0/0 udp dpt:161
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:500 dpt:500
0 0 ACCEPT esp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT ah -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:2020 dpt:2020
0 0 ACCEPT all -- tun+ * 0.0.0.0/0 0.0.0.0/0
3 144 LOG tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02 LOG flags 0 level 7 prefix `** INPUT - DESCARTADOS **'
3 144 DROP tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp flags:0x17/0x02

Chain FORWARD (policy DROP 0 packets, 0 bytes)
pkts bytes target prot opt in out source destination
0 0 ACCEPT all -- tun+ * 0.0.0.0/0 0.0.0.0/0
0 0 DROP all -- eth0 * !128.0.0.0/16 0.0.0.0/0
37387 24M ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
1671 89704 ACCEPT all -- eth0 * 128.0.0.0/16 0.0.0.0/0
0 0 ACCEPT tcp -- eth1 * 0.0.0.0/0 128.0.1.3 tcp dpt:18768
123 5980 ACCEPT tcp -- eth1 * 0.0.0.0/0 128.0.1.3 tcp dpts:6881:6891

Chain OUTPUT (policy DROP 25 packets, 12712 bytes)
pkts bytes target prot opt in out source destination
2 205 ACCEPT all -- * lo 0.0.0.0/0 0.0.0.0/0
78 7168 ACCEPT all -- * * 0.0.0.0/0 0.0.0.0/0 state RELATED,ESTABLISHED
0 0 ACCEPT tcp -- * eth1 0.0.0.0/0 0.0.0.0/0 multiport dports 53,25,80,443 state NEW,RELATED,ESTABLISHED
2 148 ACCEPT udp -- * eth1 0.0.0.0/0 0.0.0.0/0 multiport dports 53,123
0 0 ACCEPT udp -- * eth0 0.0.0.0/0 128.0.0.0/16 udp dpt:161
0 0 ACCEPT udp -- * * 0.0.0.0/0 0.0.0.0/0 udp spt:500 dpt:500
0 0 ACCEPT esp -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT ah -- * * 0.0.0.0/0 0.0.0.0/0
0 0 ACCEPT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp spt:2020 dpt:2020

####################

[root@srv5:/home/oderfla$]: iptables -L -n -t nat
Chain PREROUTING (policy ACCEPT)
target prot opt source destination
ACCEPT tcp -- 128.0.0.0/16 200.201.160.0/20 multiport dports 80,443
ACCEPT all -- 128.0.0.0/16 0.0.0.0/0
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:18768 to:128.0.1.3:18768
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpts:6881:6891 to:128.0.1.3:6881
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:6666 to:128.0.1.3:6666
DNAT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:6667 to:128.0.1.3:6667

Chain POSTROUTING (policy ACCEPT)
target prot opt source destination
MASQUERADE all -- 128.0.0.0/16 0.0.0.0/0

Chain OUTPUT (policy ACCEPT)
target prot opt source destination

IRADO o problema ta no teu querido firewall :) hehehehe teu policy ta DROP

Chain INPUT (policy DROP 165 packets, 16051 bytes)

e vc nao tem nenhuma regra liberando esse trafego nem por rede nem por porta.

gostaria muito, muito mesmo, de acreditar em vc.. mas não posso :(

o fwll é o mesmo HÁ DOIS MESES, e esse squid esta funcionando assim ha PELO MENOS 30 dias..

tenho OUTRO fwll igualzinho, com as mesmissimas regras, funcionando em outra filial... ha mais ou menos 45 dias. Tambem sem problemas.

jah são DOIS motivos pra não acreditar em vc.

ah, e não se esqueça: não se deve mesmo permitir acesso indiscriminado.. vc tem que fazer forward:

$IPT -t filter -A FORWARD -s $REDE -i $NIC_INTERNA -p ALL -j ACCEPT

INPUT é apenas para pacotes que se destinem a propria maquina; veja que habilita-se ntp, snmp, smtp, algumas outras, que tem serviços ativos nesta maquina aqui.

:(

ps: procurando no google eu já vi que tem um montão de gente com o mesmo problema: o squid, DO NADA, para de funcionar. Apenas para.. :(

Entao cara.. o squid nao ta na propria maquina ???

sim, scorpion, está. Mas já respondendo sua proxima pergunta: o forward E o (pre/post) routing eh que devem fazer isso. Input eh so pra serviços DA PROPRIA MAQUINA, ou acesso. Por exemplo: smtp, ssh NESSA maquina precisam ser acessiveis, mas o squid soh por PREROUTING [...] -j REDIRECT port..

então:
serviços disponiveis nessa maquina:
$IPT -t filter -A INPUT -p tcp -m multiport -i $NIC_INTERNA -s $REDE --destination-port smtp,5435,10000 -j ACCEPT

e o proxy, transparente:
$IPT -t nat -A PREROUTING -s $REDE -i $NIC_INTERNA -p tcp -d 0/0 --dport http -j REDIRECT --to-port 3128

de qualquer forma, volto a insistir: funcionou normalmente por (pelo menos) 40 dias; parou repentinamente na madrugada de ontem e NÃO HOUVE qualquer alteração seja no squid.conf seja no script de firewall. E existem vários posts na 'net (veja pelo google) de colegas com o mesmo problema: squid congelado "do nada".

Irado vamos fazer so um teste pra eu ter certeza...

manda um iptables -P INPUT ACCEPT

e testa... se nao funcionar eu realmente estou errado

depois pra voltar iptables -P INPUT DROP

Citação:

Postado originalmente por scorpion

Irado vamos fazer so um teste pra eu ter certeza...

manda um iptables -P INPUT ACCEPT

e testa... se nao funcionar eu realmente estou errado

depois pra voltar iptables -P INPUT DROP

seu TEIMOSOOOOOO!!!! :P

[root@srv5:/home/oderfla$]: iptables -L
Chain INPUT (policy ACCEPT)
target prot opt source destination

como eu esperava, não funcionou;

(acho que vc faltou nessa aula de "iptables policies" - risos)

POLITICAS DEVEM SER DROP OU REJECT.. ;) pra facilitar a vida. Mas tem quem goste de sofrer e deixe OPEN só pra ficar criando trilhões de regras proibindo isso e aquilo :)

um bom fimdi, scorpion. Valeu pela tentativa :)

foi uma tentativa desesperadora pq eu nunca vi isso na minha vida huAHUahuA :)

Citação:

Postado originalmente por scorpion

foi uma tentativa desesperadora pq eu nunca vi isso na minha vida huAHUahuA :)

infelizmente eu fui agraciado com essa maravilha. Claro, não estou sozinho, um monte de gente (veja no google) tem o mesmo problema e, pelo que vi, SEM SOLUÇÃO. :(

removi e (re)instalei com 3 pacotes.tgz diferentes, removi e instalei a partir do source, sempre removendo TUDO, inclusive cache, log's e o escambau. Nada.. :(

claro, não quero ter que reinstalar TODO o sistema por isso - acho um absurdo despropositado - mas JURO que já estou pensando nisso :(

ps: em outra máquina, funciona normalmente. Tanto que estou propondo à chefia para mudarmos de proxy para aquela maquina (não da transparente). Funciona, mas ai aparece um OUTRO problema cavernoso - risos - que deixo pra outra ocasião.

de novo, bom fimdi.

Qual é a versão do squid?

Existe diferença de versão entre este squid e o da outra máquina?

Teve algum update recente?

Pode postar o squid.conf (sem comentários)?

[oderfla@srv5:~$]: /usr/sbin/squid -v
Squid Cache: Version 3.0.STABLE9

[oderfla@Srv11009:~$]: /usr/sbin/squid -v
Squid Cache: Version 3.0.STABLE9

iguaizinhas. Não houve upgrade, essa é a ultima versão disponivel.

##--> squid.conf (isso não deve ajudar muito, uma vez que nao foi alterado antes da "paralisia".

http_port 128.0.11.5:3128 transparent
visible_hostname Srv5
#
icp_port 0
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
cache deny QUERY
acl apache rep_header Server ^Apache
#broken_vary_encoding allow apache
cache_mem 256 MB
cache_swap_low 90
cache_swap_high 95
maximum_object_size 5096 KB
cache_dir ufs /var/spool/squid 512 128 256
access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
pid_filename /var/run/squid.pid
ftp_user Squid@
hosts_file /etc/hosts
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 # https
acl SSL_ports port 563 # snews
acl SSL_ports port 873 # rsync
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl festa_do_kaki src "/etc/squid/regras/festa_do_kaki.txt"
acl dom_permitidos dstdom_regex -i "/etc/squid/regras/url_permitidas.txt"
acl ips_permitidos url_regex -i "/etc/squid/regras/ips_permitidos.txt"
acl rede_interna src 128.0.0.0/16
http_access deny !rede_interna
http_access allow festa_do_kaki
http_access allow dom_permitidos
http_access allow ips_permitidos
http_reply_access allow all
icp_access allow all
http_access deny all
error_directory /usr/share/squid/errors/Portuguese
coredump_dir /var/spool/squid
high_page_fault_warning 0
high_memory_warning 0

Irado... so por curiosidade.. vc ja tentou rodar o squid em outra porta ??? so pra fazer um teste ??

Desculpe a intromissão num papo tão bom de vocês :D
Massss, tenta instalar o squid 2.7. O squid 3.0 é uma implementação em C++, o 2.7 é o oficial (tanto é que o 2.7 já vem nativamente com o patch ZPH, o 3.0 não)

Citação:

Postado originalmente por scorpion

Irado... so por curiosidade.. vc ja tentou rodar o squid em outra porta ??? so pra fazer um teste ??

já sim.. :( não adiantou nada, continua congelado.

Citação:

Postado originalmente por osmano807

Desculpe a intromissão num papo tão bom de vocês :D
Massss, tenta instalar o squid 2.7. O squid 3.0 é uma implementação em C++, o 2.7 é o oficial (tanto é que o 2.7 já vem nativamente com o patch ZPH, o 3.0 não)

o original foi 2.7 - que foi o tal que congelou - rss..

de qualquer forma, OFICIAL (conforme o site squid) é a versão 3-Stable10:
squid : Optimising Web Delivery

/me bem desconfiado que o problema seja o slack mesmo :(

Irado,

Eu já tive um problema semelhante no Debian 3.0. O problema é que eu não consegui depurar o problema porque o outro Admin reinstalou a máquina antes de qualquer coisa.

Podemos fazer um teste meio "cabuloso"... rodar o squid com o strace e ver se ele está dando erro em alguma chamada para criação de socket ou algo parecido. A saída vai ficar gigantesca, mas...

Outra coisa, já verificou se está sendo criando algum dump no /var/spool/squid ?

bem.. fiz mais ou menos o que o seu colega fez: estou usando OUTRA maquina e OUTRO SO (CentOS), por via das dúvidas. Não dá, em termos de empresa, pra gente ficar sentado em cima de um problema. Nem fiquei traumatizado - rss - minha distro preferida é Slackware, mas isso não pode me prender, profissionalmente.

Vou tentar reproduzir isso em casa - apesar de ambiente/maquina completamente diferentes.

Obrigado a todos :) que ajudaram - pelo menos no apoio moral

Puxa galera, eu uso o Myauth no slackware e tem um servidor meu que tá nessa mesma zica, inclusive estou a quase 1 semana sem squid, liberadão sem cache pra galera :D
Já tentei de tudo, acredito que seja algum bug no slackware, ou algum tipo de vírus sei lá, pq eu formatei esse servidor a algum tempo qdo deu esse problema e não consegui resolver, aí assim que formatei funcionou um côco por várias semanas, aí de uma hora pra outra o disgramado parou denovo, eu usava a versão 10.2, agora depois que formatei coloquei a versão 12 mas o problema foi o mesmo.
Acredito eu que seja o mesmo problema do tópico.
Estive pensando em colocar outro servidor com o Debian só pra rodar o squid e apontar o antigo pra ele, o que vcs acham? andei lendo na net e com alguns amigos da facul e a galera disse que o Debian é um dos melhores para esse finalidade, o que vcs acham???

Um abraço...

eu, particularmente, não gosto da Debian, tive algumas péssimas experiencias com o apt-get update/upgrade - caiu em loop (rss).

Como mencionei em outro post: troquei de maquina E de distribuição, fui para CentOS. Não foi uma escolha aleatória, então sugiro FORTEMENTE vc avaliar as caracteristicas dessa distribuição.