Squid funciona... Mas terminais podem navegar sem ser pelo proxy

[vfsmount]

Ola amigos... Ja usei bastante o linux aqui na minha cidade para compartilhar a internet... entretanto estou comecando a usar o squid agora...

Meu problema eh o seguinte...

tenho um servidor com duas eth funcionando corretamente
regra de iptables para compartilhar

# iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE
com isso todos meus terminais da rede conseguem navegar perfeitamente bem.

instalei o squid e configurei-o... todos os terminais conseguem acessar a internet tambem. As configuracoes de proxy nos terminais eu fiz tranquilo, e funcionaram até o sarg esta gerando os relatorios corretamente.

Acontece que se algum usuario quiser ele consegue ultrapassar meu proxy simplesmente tirando as configuracoes do navegador.

Alguem consegue me explicar o que esta acontecendo.
Eu estou precisando para poder verificar os sites acessados e bloquea-los... mas se o usuario estiver conseguindo burlar eu nao tenho como saber.

Obrigado

[pssgyn]

Amigo, o seu proxy é autenticado ou transparente ??
Se for transparente, você está direcionando o tráfego para a porta 3128 ???
Dê uma olhadinha ......

[xstefanox]

É como o amigo acima falou, mas se você não quiser permitir que os seus usuários, mesmo alterando as configurações de proxy, naveguem, você pode utilizar política DROP no seu iptables. Dá um trabalho, mas funciona bem.


Um abraço!

[tianguapontocom]

Boa,
Faca um redirecionamento de 80 para a 3128
use politica DROP no seu Firewall pq so assim o cliente tanto ou nao com o proxy configurado ele vai cair no SQUID.

[danielpicolli]

ola!
no seu caso vc deve usar o squid como proxy transparente, ou seja o iptables vai redirecionar o trafego da porta 80 para a porta 3128 do squid...
no final do arquivo squid.conf adicione estas linhas para abilitar o proxy tranparente:
httpd_accel_port 80
httpd_accel_host virtual
httpd_accel_uses_host_header on
httpd_accel_with_proxy on

subtitua a chain que faz o masquerade por estas duas: ( no iptables)

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p udp --dport 80 -j REDIRECT --to-port 3128

e reinicie os serviçoes do squid e iptables.

( obs : não sera preciso configurar o navegador)

abraço...
espero ter ajudado

[tianguapontocom]

se seu trafego e para a rede interna nao precisa do redirecionamento udp basta somente o tcp
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j REDIRECT --to-port 3128
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 8080 -j REDIRECT --to-port 3128