crashzero2000
Goto Top

Beim Squid greift Dateidownload-Sperre nicht.

Beim Squid unter CentOs 5.4 greift die Dateidownloadsperre nicht.
Webseitensperre funktioniert einwandfrei.

Moin Admin-Gemeinde.

Ich habe ein Problem mit dem Squid [squid-2.6.STABLE21-3.el15.i386] unter CentOs 5.4.

Ich möchte eine Dateidownloadsperre einrichten, leider greifen die ACL´s nicht.
ACL´s für eine Webseitensperre funktioniert wunderbar.

Ich konfiguriere den Squid unter Webmin aber auch direkt auf der Konsole [root].

Meine squid.conf :
#ACL

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 443 # ftp
acl Safe_ports port 70 # https
acl Safe_ports port 210 # gopher
acl Safe_ports port 1025-65535 # wais
acl Safe_ports port 280 # unregistered ports
acl Safe_ports port 488 # http-mgmt
acl Safe_ports port 591 # gss-http
acl Safe_ports port 777 # filemaker
acl CONNECT method CONNECT # multiling http
acl full_access_users src 10.2.1.89

#Hier die ACL die leider nicht greift

acl dateianhang_verbot url_regex -i "/etc/squid/dateianhang"

#Ab hier alles OK
acl banned_sites dstdomain .ebay.de .gmx.de

#definition of approved_sites
acl QUERY urlpath_regex cgi-bin \?
acl apache rep_header Server ^Apache
acl Restricted_access_user src 10.2.1.99
acl Safe_ports port 21

#definition of banned_sites

#Squid-Port

http_port 3130

access_log /var/log/squid/access.log


#Logfile
logfile_rotate 3

log_ip_on_direct off


log_mime_hdrs on


#We recommend you to use the following two lines.
cache deny QUERY

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern . 0 20% 4320


icp_access allow all
http_access allow manager localhost
http_access deny manager
http_access deny CONNECT !SSL_ports
http_access allow localhost
http_access allow full_access_users

#Eigene Meldung für geblockten Download

deny_info ERR_BLOCKED_FILES dateianhang_verbot

#http_access greift leider nicht ?!

http_access deny dateianhang_verbot banned_sites Restricted_access_user

broken_vary_encoding allow apache

cache_effective_user squid

#cache_effective_group squid
cache_effective_group squid
cache_mgr root@localhost
Hab auch bereits acl dateianhang_verbot urlpath_regex -i "/etc/squid/dateianhang" versucht, leider kein Erfolg.

Die ACL-Liste "dateianhang" liegt auch tatsächlich in /etc/squid/.

Der Proxy greift ansonsten auf der 10.2.1.99 sehr gut, Webseitenfilterung.

[Konfig neue einlesen immer wieder entweder über Webmin aber auch über Konsole ist erfolgt, Cache des Clients immer wieder gelöscht].

Hat jemand eine Idee oder ist das ein Bug ?

Content-ID: 137864

Url: https://administrator.de/contentid/137864

Printed on: December 14, 2024 at 18:12 o'clock

maretz
maretz Mar 10, 2010 at 11:49:39 (UTC)
Goto Top
Zum blocken von Webseiten würde ich SquidGuard empfehlen.

Zum Blocken von Dateidownloads:

[...]
acl CONNECT method CONNECT

acl badexe url_regex -i \.exe
acl badvbs url_regex -i \.vbs
[...]

[...]
http_access deny badexe
http_access deny badvbs


  1. And finally deny all other access to this proxy
http_access allow localnet
http_access deny all
[...]
crashzero2000
crashzero2000 Mar 10, 2010 at 14:25:39 (UTC)
Goto Top
Danke - Das hatte ich ja drin.

Habs gelöst :
Im Webmin darf es keine Proxybeschränkungen- Verknüpfungen geben die nicht einer gleichen Gruppe angehören

z.B. [Portsperrung und Dateidownloadsperre zusammen in einem DENY - Funktioniert nicht !]
Deny dateianhang_verbot Unsafe_ports_verbot Restricted_access_user

Es muß für jede Sperrgruppe ein eigener DENY vorhanden sein.

z.B.
Deny dateianhang_verbot Restricted_access_user
Deny Unsafe_ports Restricted_access_user
Deny SSL_ports Restricted_access_user

Das funktioniert dann wunderbar.

Ein weiteres Problem war :
Über Google eine Seite suchen und Aufrufen [Url ist dann www.google.de/url?xxxxxxxxxx]
Meldung : Seite gespeert kommt.

Mit ACL erlaubte_seiten und mit dem Inhalt www.google.de explizit erlauben und in den Proxybeschränkungen Erlauben und ganz nach oben setzen.

Der Squid scheint da sehr eigen mit der DENY und ALLOW Reihenfolge.

Danke.