[Comm] Ограничение трафика FTP

[Comm] Ограничение трафика FTP

[support]

Здравствуйте!
Делаю прозрачную проксю на iptables и squid с ограничением пропускной
способности
с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно нет.
Iptables я порезал все порты политекой по умолчанию и добавил
-A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j REDIRECT --to-ports
3128
-A PREROUTING -p tcp --dport 3128 -j DROP
Web прекрасно ходит через squid ,а вот как ограничить трафик FTP, да еще
желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?

Re: [Comm] Ограничение трафика FTP

[Aleks Silin]

On Thu, 23 Oct 2003 18:48:44 +0400
<support@planetashop.ru> wrote:

> Здравствуйте!
> Делаю прозрачную проксю на iptables и squid с ограничением пропускной
> способности
> с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно нет.
Я как раз озадачился тем же и у меня возникла проблемка. Если в IE указать прокси,
то запрос к прокси выглядет как:
GET http://www.xxx.ru/ HTTP/1.0
Host: www.xxx.ru

А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports 3128
то запрос к прокси выглядет как:
GET / HTTP/1.1
Host: www.xxx.ru

и соответственно ничего не работает. Сквид выдает ошибку: неправильный URL
Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ?

> Iptables я порезал все порты политекой по умолчанию и добавил
> -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j REDIRECT --to-ports
> 3128
> -A PREROUTING -p tcp --dport 3128 -j DROP
> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP, да еще
> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?
А FTP-траффик тоже через скавид ходит? Если да, то в сквиде можно настроить
acl name url_regex ........... для вырезания "вредных" URL. 
И траффик теми же пулами ограничить можно.
Подробнее можно почитать на squid.opennet.ru

-- 
С уважением, Силин А.В.
my_mail@gala.net

Re: [Comm] Ограничение трафика FTP

[Пирогов Алексей]

В сообщении от 23 Октябрь 2003 17:48 support@planetashop.ru написал(a):
> Делаю прозрачную проксю на iptables и squid с ограничением пропускной
> способности
> ...
> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP
попробуй завернуть аналогично порты 20 и 21
или используй шейпер cbq

> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?
используй redirect_program в squid

-- 
Наилучшие пожелания,                      Registered         .--.
Пирогов Алексей                       Linux User #293162    |@_@ |
mailto:ipalex@ukr.net                                       |!_/ |
UIN:172368093                                              //   \ \
                                                          (|     | )
                                                         /'\_   _/`\
                                       Powered by Linux  \___)=(___/

Re: [Comm] Ограничение трафика FTP

[Пирогов Алексей]

В сообщении от 23 Октябрь 2003 17:48 support@planetashop.ru написал(a):
> Делаю прозрачную проксю на iptables и squid с ограничением пропускной
> ...
> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP
попробуй завернуть аналогично порты 20 и 21
или используй шейпер cbq

> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?
используй redirect_program в squid

-- 
Наилучшие пожелания,                      Registered         .--.
Пирогов Алексей                       Linux User #293162    |@_@ |
mailto:ipalex@ukr.net                                       |!_/ |
UIN:172368093                                              //   \ \
                                                          (|     | )
                                                         /'\_   _/`\
                                       Powered by Linux  \___)=(___/

Re: [Comm] Ограничение трафика FTP

[Maxim.Savrilov]

[-- Attachment #1: Type: text/plain, Size: 539 bytes --]

On Fri, 24 Oct 2003 08:50:48 +0600
Aleks Silin <my_mail@gala.net> wrote:

> А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports 3128
> то запрос к прокси выглядет как:
> GET / HTTP/1.1
> Host: www.xxx.ru
> 
> и соответственно ничего не работает. Сквид выдает ошибку: неправильный URL
> Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ?


а сквид настроен как прозрачный прокси?

-- 
Дискуссия протекала культурно, с упоминанием наиболее прославленных
в народе атрибутов богов плодородия.

[-- Attachment #2: Type: application/pgp-signature, Size: 307 bytes --]

Re[2]: [Comm] Ограничение трафика FTP

["KoLyA"]

 
 
-----Original Message----- 
From: Aleks Silin <my_mail@gala.net> 
To: community@altlinux.ru 
Date: Fri, 24 Oct 2003 08:50:48 +0600 
Subject: Re: [Comm] Ограничение трафика FTP 
 
> 
>On Thu, 23 Oct 2003 18:48:44 +0400 
><support@planetashop.ru> wrote: 
> 
>> Здравствуйте! 
>> Делаю прозрачную проксю на iptables и squid с ограничением пропускной 
>> способности 
>> с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно нет. 
>Я как раз озадачился тем же и у меня возникла проблемка. Если в IE указать прокси, 
>то запрос к прокси выглядет как: 
>GET http://www.xxx.ru/ HTTP/1.0 
>Host: www.xxx.ru 
> 
>А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports 3128 
>то запрос к прокси выглядет как: 
>GET / HTTP/1.1 
>Host: www.xxx.ru 
> 
>и соответственно ничего не работает. Сквид выдает ошибку: неправильный URL 
>Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ? 
 
имхо надо сквиду сказать работать http-акселератором 
 
>> Iptables я порезал все порты политекой по умолчанию и добавил 
>> -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j REDIRECT --to-ports 
>> 3128 
>> -A PREROUTING -p tcp --dport 3128 -j DROP 
>> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP, да еще 
>> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.? 
>А FTP-траффик тоже через скавид ходит? Если да, то в сквиде можно настроить 
>acl name url_regex ........... для вырезания "вредных" URL.  
>И траффик теми же пулами ограничить можно. 
>Подробнее можно почитать на squid.opennet.ru 
> 
>--  
>С уважением, Силин А.В. 
>my_mail@gala.net 
>_______________________________________________ 
>Community mailing list 
>Community@altlinux.ru 
>http://www.altlinux.ru/mailman/listinfo/community 
> 
 
--- 
WBR Kolya - kolya-home.newmail.ru 
            voron.hotmail.ru 

Re: Re[2]: [Comm]Ограничение трафика FTP

[support]

> -----Original Message-----
> From: Aleks Silin <my_mail@gala.net>
> To: community@altlinux.ru
> Date: Fri, 24 Oct 2003 08:50:48 +0600
> Subject: Re: [Comm] Ограничение трафика FTP
>
> >
> >On Thu, 23 Oct 2003 18:48:44 +0400
> ><support@planetashop.ru> wrote:
> >
> >> Здравствуйте!
> >> Делаю прозрачную проксю на iptables и squid с ограничением пропускной
> >> способности
> >> с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно
нет.
> >Я как раз озадачился тем же и у меня возникла проблемка. Если в IE
указать прокси,
> >то запрос к прокси выглядет как:
> >GET http://www.xxx.ru/ HTTP/1.0
> >Host: www.xxx.ru
> >
> >А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports
3128
> >то запрос к прокси выглядет как:
> >GET / HTTP/1.1
> >Host: www.xxx.ru
> >
> >и соответственно ничего не работает. Сквид выдает ошибку: неправильный
URL
> >Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ?
>
> имхо надо сквиду сказать работать http-акселератором
>
> >> Iptables я порезал все порты политекой по умолчанию и добавил
> >> -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j
REDIRECT --to-ports
> >> 3128
> >> -A PREROUTING -p tcp --dport 3128 -j DROP
> >> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP, да
еще
> >> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?
> >А FTP-траффик тоже через скавид ходит? Если да, то в сквиде можно
настроить
> >acl name url_regex ........... для вырезания "вредных" URL.
> >И траффик теми же пулами ограничить можно.
> >Подробнее можно почитать на squid.opennet.ru

Вы не допоняли вопрос. Трафик прозрачного прксирования ограничить можно
только для HTTP это просто.
20 и 21 порты завернуть на сквид не получается, кроме того если использовать
шейпер cbq
то кроме этих портов надо перечислять все возможные порты по которым
возможена передача файлов.
Я обрезал 20 и 21 порты cbq , но скорость не упала, смотрю iptraf ом, а
передача файла и прием идут уже не по 20 21 портам а по портам выше 1024 --.

Нашел выход - программа прозрачного проксирования FTP - frox, в мастере 2.2
ее не нашел.
Скачал из инета. Поставил из исходников работает!!!!! прозрачное кеширование
FTP с возможностью
ограничивать полосу пропускания. В описании етой проги сказано что ее можно
завернуть на сквид и уе сквидом фильтровать дальше что хош, но вот это и
неполучается. Почемуто сквид вообще уменя ftp не проксирует .
Что нужно указать в настройках squid чтобы он FTP пропускал?

Re: Re[2]: [Comm] Ограничение трафика FTP

[Aleks Silin]

On Fri, 24 Oct 2003 12:31:49 +0400
"KoLyA"  <kolyag@mail.ru> wrote:

>  
>  
> -----Original Message----- 
> From: Aleks Silin <my_mail@gala.net> 
> To: community@altlinux.ru 
> Date: Fri, 24 Oct 2003 08:50:48 +0600 
> Subject: Re: [Comm] Ограничение трафика FTP 
>  
> > 
> >On Thu, 23 Oct 2003 18:48:44 +0400 
> ><support@planetashop.ru> wrote: 
> > 
> >> Здравствуйте! 
> >> Делаю прозрачную проксю на iptables и squid с ограничением пропускной 
> >> способности 
> >> с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно нет. 
> >Я как раз озадачился тем же и у меня возникла проблемка. Если в IE указать прокси, 
> >то запрос к прокси выглядет как: 
> >GET http://www.xxx.ru/ HTTP/1.0 
> >Host: www.xxx.ru 
> > 
> >А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports 3128 
> >то запрос к прокси выглядет как: 
> >GET / HTTP/1.1 
> >Host: www.xxx.ru 
> > 
> >и соответственно ничего не работает. Сквид выдает ошибку: неправильный URL 
> >Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ? 
>  
> имхо надо сквиду сказать работать http-акселератором 
Спасибо, не подумал как то :)

-- 
С уважением, Силин А.В.
my_mail@gala.net

Re: Re[2]: [Comm]Ограничение трафика FTP

[Aleks Silin]

On Fri, 24 Oct 2003 15:19:08 +0400
<support@planetashop.ru> wrote:

> > -----Original Message-----
> > From: Aleks Silin <my_mail@gala.net>
> > To: community@altlinux.ru
> > Date: Fri, 24 Oct 2003 08:50:48 +0600
> > Subject: Re: [Comm] Ограничение трафика FTP
> >
> > >
> > >On Thu, 23 Oct 2003 18:48:44 +0400
> > ><support@planetashop.ru> wrote:
> > >
> > >> Здравствуйте!
> > >> Делаю прозрачную проксю на iptables и squid с ограничением пропускной
> > >> способности
> > >> с помощью пулов задержки, с заворотом трафика по 80 порту проблем ясно
> нет.
> > >Я как раз озадачился тем же и у меня возникла проблемка. Если в IE
> указать прокси,
> > >то запрос к прокси выглядет как:
> > >GET http://www.xxx.ru/ HTTP/1.0
> > >Host: www.xxx.ru
> > >
> > >А если же я запросы к 80 порту заруливаю с помощью -j REDIRECT --to-ports
> 3128
> > >то запрос к прокси выглядет как:
> > >GET / HTTP/1.1
> > >Host: www.xxx.ru
> > >
> > >и соответственно ничего не работает. Сквид выдает ошибку: неправильный
> URL
> > >Стоит Мастер 2.0 из коробки. Не подскажите, где я был неправ?
> >
> > имхо надо сквиду сказать работать http-акселератором
> >
> > >> Iptables я порезал все порты политекой по умолчанию и добавил
> > >> -A PREROUTING -s 192.168.0.0/24 -p tcp --dport 80 -j
> REDIRECT --to-ports
> > >> 3128
> > >> -A PREROUTING -p tcp --dport 3128 -j DROP
> > >> Web прекрасно ходит через squid ,а вот как ограничить трафик FTP, да
> еще
> > >> желательно чтобы с вырезанием нехороших слов типа mp3 и тд.?
> > >А FTP-траффик тоже через скавид ходит? Если да, то в сквиде можно
> настроить
> > >acl name url_regex ........... для вырезания "вредных" URL.
> > >И траффик теми же пулами ограничить можно.
> > >Подробнее можно почитать на squid.opennet.ru
> 
> Вы не допоняли вопрос. Трафик прозрачного прксирования ограничить можно
> только для HTTP это просто.
> 20 и 21 порты завернуть на сквид не получается, кроме того если использовать
> шейпер cbq
> то кроме этих портов надо перечислять все возможные порты по которым
> возможена передача файлов.
> Я обрезал 20 и 21 порты cbq , но скорость не упала, смотрю iptraf ом, а
> передача файла и прием идут уже не по 20 21 портам а по портам выше 1024 --.
>
> Нашел выход - программа прозрачного проксирования FTP - frox, в мастере 2.2
> ее не нашел.
> Скачал из инета. Поставил из исходников работает!!!!! прозрачное кеширование
> FTP с возможностью
> ограничивать полосу пропускания. В описании етой проги сказано что ее можно
> завернуть на сквид и уе сквидом фильтровать дальше что хош, но вот это и
> неполучается. Почемуто сквид вообще уменя ftp не проксирует .
> Что нужно указать в настройках squid чтобы он FTP пропускал?
А он по умолчанию FTP, HTTP, HTTPS без проблем пропускает, если только 
пользователю вообще разрешен доступ через сквид. У Вас в acl Safe_ports 20 и 21
порты перечислены? А что в логах сквида?


-- 
С уважением, Силин А.В.
my_mail@gala.net

Re: [Comm]Ограничение трафика FTP

[Shawkat Nizamov]

> > Что нужно указать в настройках squid чтобы он FTP пропускал?
>
> А он по умолчанию FTP, HTTP, HTTPS без проблем пропускает, если только
> пользователю вообще разрешен доступ через сквид. У Вас в acl Safe_ports 20
> и 21 порты перечислены? А что в логах сквида?

Наталкивался на одну неприятную штучку - в squid.conf есть параметр ftp_user. 
Он по умолчанию  Squid@  А должно быть что-то типа squid@myhost.  
С параметром по умолчанию сквид не может анонимно залезать на ftp.