2
Beim Squid greift Dateidownload-Sperre nicht.
Beim Squid unter CentOs 5.4 greift die Dateidownloadsperre nicht.
Webseitensperre funktioniert einwandfrei.
Moin Admin-Gemeinde.
Ich habe ein Problem mit dem Squid [squid-2.6.STABLE21-3.el15.i386] unter CentOs 5.4.
Ich möchte eine Dateidownloadsperre einrichten, leider greifen die ACL´s nicht.
ACL´s für eine Webseitensperre funktioniert wunderbar.
Ich konfiguriere den Squid unter Webmin aber auch direkt auf der Konsole [root].
Meine squid.conf :
#ACL
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 443 # ftp
acl Safe_ports port 70 # https
acl Safe_ports port 210 # gopher
acl Safe_ports port 1025-65535 # wais
acl Safe_ports port 280 # unregistered ports
acl Safe_ports port 488 # http-mgmt
acl Safe_ports port 591 # gss-http
acl Safe_ports port 777 # filemaker
acl CONNECT method CONNECT # multiling http
acl full_access_users src 10.2.1.89
#Hier die ACL die leider nicht greift
acl dateianhang_verbot url_regex -i "/etc/squid/dateianhang"
#Ab hier alles OK
acl banned_sites dstdomain .ebay.de .gmx.de
#definition of approved_sites
acl QUERY urlpath_regex cgi-bin \?
acl apache rep_header Server ^Apache
acl Restricted_access_user src 10.2.1.99
acl Safe_ports port 21
#definition of banned_sites
#Squid-Port
http_port 3130
access_log /var/log/squid/access.log
#Logfile
logfile_rotate 3
log_ip_on_direct off
log_mime_hdrs on
#We recommend you to use the following two lines.
cache deny QUERY
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
icp_access allow all
http_access allow manager localhost
http_access deny manager
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow full_access_users
#Eigene Meldung für geblockten Download
deny_info ERR_BLOCKED_FILES dateianhang_verbot
#http_access greift leider nicht ?!
http_access deny dateianhang_verbot banned_sites Restricted_access_user
broken_vary_encoding allow apache
cache_effective_user squid
#cache_effective_group squid
cache_effective_group squid
cache_mgr root@localhost
Hab auch bereits acl dateianhang_verbot urlpath_regex -i "/etc/squid/dateianhang" versucht, leider kein Erfolg.
Die ACL-Liste "dateianhang" liegt auch tatsächlich in /etc/squid/.
Der Proxy greift ansonsten auf der 10.2.1.99 sehr gut, Webseitenfilterung.
[Konfig neue einlesen immer wieder entweder über Webmin aber auch über Konsole ist erfolgt, Cache des Clients immer wieder gelöscht].
Hat jemand eine Idee oder ist das ein Bug ?
Ich habe ein Problem mit dem Squid [squid-2.6.STABLE21-3.el15.i386] unter CentOs 5.4.
Ich möchte eine Dateidownloadsperre einrichten, leider greifen die ACL´s nicht.
ACL´s für eine Webseitensperre funktioniert wunderbar.
Ich konfiguriere den Squid unter Webmin aber auch direkt auf der Konsole [root].
Meine squid.conf :
#ACL
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 443 # ftp
acl Safe_ports port 70 # https
acl Safe_ports port 210 # gopher
acl Safe_ports port 1025-65535 # wais
acl Safe_ports port 280 # unregistered ports
acl Safe_ports port 488 # http-mgmt
acl Safe_ports port 591 # gss-http
acl Safe_ports port 777 # filemaker
acl CONNECT method CONNECT # multiling http
acl full_access_users src 10.2.1.89
#Hier die ACL die leider nicht greift
acl dateianhang_verbot url_regex -i "/etc/squid/dateianhang"
#Ab hier alles OK
acl banned_sites dstdomain .ebay.de .gmx.de
#definition of approved_sites
acl QUERY urlpath_regex cgi-bin \?
acl apache rep_header Server ^Apache
acl Restricted_access_user src 10.2.1.99
acl Safe_ports port 21
#definition of banned_sites
#Squid-Port
http_port 3130
access_log /var/log/squid/access.log
#Logfile
logfile_rotate 3
log_ip_on_direct off
log_mime_hdrs on
#We recommend you to use the following two lines.
cache deny QUERY
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320
icp_access allow all
http_access allow manager localhost
http_access deny manager
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow full_access_users
#Eigene Meldung für geblockten Download
deny_info ERR_BLOCKED_FILES dateianhang_verbot
#http_access greift leider nicht ?!
http_access deny dateianhang_verbot banned_sites Restricted_access_user
broken_vary_encoding allow apache
cache_effective_user squid
#cache_effective_group squid
cache_effective_group squid
cache_mgr root@localhost
Hab auch bereits acl dateianhang_verbot urlpath_regex -i "/etc/squid/dateianhang" versucht, leider kein Erfolg.
Die ACL-Liste "dateianhang" liegt auch tatsächlich in /etc/squid/.
Der Proxy greift ansonsten auf der 10.2.1.99 sehr gut, Webseitenfilterung.
[Konfig neue einlesen immer wieder entweder über Webmin aber auch über Konsole ist erfolgt, Cache des Clients immer wieder gelöscht].
Hat jemand eine Idee oder ist das ein Bug ?
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 137864
Url: https://administrator.de/contentid/137864
Printed on: April 18, 2024 at 15:04 o'clock
2 Comments
Latest comment
Zum blocken von Webseiten würde ich SquidGuard empfehlen.
Zum Blocken von Dateidownloads:
[...]
acl CONNECT method CONNECT
acl badexe url_regex -i \.exe
acl badvbs url_regex -i \.vbs
[...]
[...]
http_access deny badexe
http_access deny badvbs
http_access deny all
[...]
Zum Blocken von Dateidownloads:
[...]
acl CONNECT method CONNECT
acl badexe url_regex -i \.exe
acl badvbs url_regex -i \.vbs
[...]
[...]
http_access deny badexe
http_access deny badvbs
- And finally deny all other access to this proxy
http_access deny all
[...]
Danke - Das hatte ich ja drin.
Habs gelöst :
Im Webmin darf es keine Proxybeschränkungen- Verknüpfungen geben die nicht einer gleichen Gruppe angehören
z.B. [Portsperrung und Dateidownloadsperre zusammen in einem DENY - Funktioniert nicht !]
Deny dateianhang_verbot Unsafe_ports_verbot Restricted_access_user
Es muß für jede Sperrgruppe ein eigener DENY vorhanden sein.
z.B.
Deny dateianhang_verbot Restricted_access_user
Deny Unsafe_ports Restricted_access_user
Deny SSL_ports Restricted_access_user
Das funktioniert dann wunderbar.
Ein weiteres Problem war :
Über Google eine Seite suchen und Aufrufen [Url ist dann www.google.de/url?xxxxxxxxxx]
Meldung : Seite gespeert kommt.
Mit ACL erlaubte_seiten und mit dem Inhalt www.google.de explizit erlauben und in den Proxybeschränkungen Erlauben und ganz nach oben setzen.
Der Squid scheint da sehr eigen mit der DENY und ALLOW Reihenfolge.
Danke.
Habs gelöst :
Im Webmin darf es keine Proxybeschränkungen- Verknüpfungen geben die nicht einer gleichen Gruppe angehören
z.B. [Portsperrung und Dateidownloadsperre zusammen in einem DENY - Funktioniert nicht !]
Deny dateianhang_verbot Unsafe_ports_verbot Restricted_access_user
Es muß für jede Sperrgruppe ein eigener DENY vorhanden sein.
z.B.
Deny dateianhang_verbot Restricted_access_user
Deny Unsafe_ports Restricted_access_user
Deny SSL_ports Restricted_access_user
Das funktioniert dann wunderbar.
Ein weiteres Problem war :
Über Google eine Seite suchen und Aufrufen [Url ist dann www.google.de/url?xxxxxxxxxx]
Meldung : Seite gespeert kommt.
Mit ACL erlaubte_seiten und mit dem Inhalt www.google.de explizit erlauben und in den Proxybeschränkungen Erlauben und ganz nach oben setzen.
Der Squid scheint da sehr eigen mit der DENY und ALLOW Reihenfolge.
Danke.
