* [Comm] squid - распределение доступа по времени
@ 2005-04-04 12:49 Владимир Гусев
2005-04-04 12:56 ` Владимир Гусев
` (2 more replies)
0 siblings, 3 replies; 6+ messages in thread
From: Владимир Гусев @ 2005-04-04 12:49 UTC (permalink / raw)
To: AltLinux Community
Здравстввуйте!
Как я упоминал в других тредах, посвященных squid, прочитал уйму мануалов, вроде потихоньку начинаю въезжать во все это и теперь самые основные операции - прозрачный прокси, неавторизованный доступ у всех в сети есть, баннеры режутся (acl acl_banner url_regex -i "/etc/squid/banner" | http_access deny acl_banner). Хотелось уже настроить доступ по времени..
Сделал так:
acl postshop src 192.168.1.0/255.255.255.0 вся сеть
acl admin src 192.168.1.1 192.168.1.3 192.168.1.49 "небожители", которым все можно
acl france src 192.168.1.4 192.168.1.9 192.168.1.19 192.168.1.54 - боссы, которым можно больше, чем остальным, но не все:)
acl localhost src 127.0.0.1/255.255.255.255 - это ясно
acl Safe_ports port 80 443 210 119 70 20 21 1025-65535 - это тоже ясно (правда не совсем)
acl CONNECT method CONNECT - с этим вообще провал (читал про метод CONNECT) оставил как есть..
acl all src 0.0.0.0/0.0.0.0 - ну тут тоже все ясно
acl pshop time MTWHF 09:00-18:00 - время для postshop
#acl adm time MTWHFAS 00:01-23:59 - время для тех, кому все можно - но кажется этот acl не пригодится
acl fra time MTWHFA 09:00-22:00 - время для боссов
acl acl_banner url_regex -i "/etc/squid/banner"
http_access deny acl_banner
http_access allow france fra - доступ в инет боссам по расписанию fra
http_access allow postshop pshop - доступ в инет всем остальным (кроме admin и france) по расписанию pshop
http_access allow admin - доступ админам всегда
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all
И вот не работает..
Пробовал так:
http_access deny france !fra - доступ в инет боссам по расписанию fra
http_access deny postshop! pshop - доступ в инет всем остальным (кроме admin и france) по расписанию pshop
http_access allow admin - доступ админам всегда
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all
Тоже не работает.. нет доступа никому
И вот так читал:
http_access allow france fra
http_access deny france
http_access allow postshop pshop
http_access deny postshop
http_access allow admin
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all
Тоже не работает - нет доступа никому
Подскажите на пальцах, как тут логика работает? как сделать?
И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?
--
С уважением, Владимир Гусев
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Comm] squid - распределение доступа по времени
2005-04-04 12:49 [Comm] squid - распределение доступа по времени Владимир Гусев
@ 2005-04-04 12:56 ` Владимир Гусев
2005-04-04 13:04 ` Eugene Ostapets
2005-04-04 13:09 ` Alexey Morsov
2 siblings, 0 replies; 6+ messages in thread
From: Владимир Гусев @ 2005-04-04 12:56 UTC (permalink / raw)
To: community
> Подскажите на пальцах, как тут логика работает? как сделать?
>
> И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?
>
И еще вопросы - на что влияет параметр client_netmask и какое значение предпочтительнее?
В /var/log/squid/access.log не должны фиксироваться значения IP из локалки? Типа, кто куда ходил?
--
С уважением, Владимир Гусев
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Comm] squid - распределение доступа по времени
2005-04-04 12:49 [Comm] squid - распределение доступа по времени Владимир Гусев
2005-04-04 12:56 ` Владимир Гусев
@ 2005-04-04 13:04 ` Eugene Ostapets
2005-04-04 16:20 ` Владимир Гусев
2005-04-04 13:09 ` Alexey Morsov
2 siblings, 1 reply; 6+ messages in thread
From: Eugene Ostapets @ 2005-04-04 13:04 UTC (permalink / raw)
To: community
On Apr 4, 2005 3:49 PM, Владимир Гусев <vova1971@narod.ru> wrote:
> Здравстввуйте!
>
> Подскажите на пальцах, как тут логика работает? как сделать?
В acl работает логическое ИЛИ
В http_access работает логическое И
Проверка перкращается при нахождении первого правила http_access под
которое подпадает соединение
>
> И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?
--
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Comm] squid - распределение доступа по времени
2005-04-04 12:49 [Comm] squid - распределение доступа по времени Владимир Гусев
2005-04-04 12:56 ` Владимир Гусев
2005-04-04 13:04 ` Eugene Ostapets
@ 2005-04-04 13:09 ` Alexey Morsov
2005-04-04 16:20 ` Владимир Гусев
2 siblings, 1 reply; 6+ messages in thread
From: Alexey Morsov @ 2005-04-04 13:09 UTC (permalink / raw)
To: community
Владимир Гусев wrote:
> Тоже не работает - нет доступа никому
acl weekend time SA 00:00-23:59
Это время - для примера (у меня так надо)
http_access allow manager morsov
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports !Jabber_ports morsov
Это касаемо CONNECT
http_access deny chelyshev internet weekend
http_access allow localhost morsov
http_access allow internet ricom
http_access allow internet rts_ricom
http_access deny all
icp_access allow all
squid парсит ваши acl до первого совпадения... на нем и останавливается
(точнее применяет то правило на котором сошлось)
Т.е. в моем примере он проверят "если пакет от chelyshev и в internet и
щаз weekend то deny" или "если пакет от ricom в internet то разреши")
Лучше всего чтобы сначал шли все разрешения для ваших подсетей (и
адресов) а уж потом глобальные запреты.
--
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Comm] squid - распределение доступа по времени
2005-04-04 13:09 ` Alexey Morsov
@ 2005-04-04 16:20 ` Владимир Гусев
0 siblings, 0 replies; 6+ messages in thread
From: Владимир Гусев @ 2005-04-04 16:20 UTC (permalink / raw)
To: community
> squid парсит ваши acl до первого совпадения... на нем и останавливается
> (точнее применяет то правило на котором сошлось)
> Т.е. в моем примере он проверят "если пакет от chelyshev и в internet и
> щаз weekend то deny" или "если пакет от ricom в internet то разреши")
> Лучше всего чтобы сначал шли все разрешения для ваших подсетей (и
> адресов) а уж потом глобальные запреты.
>
>
Спасибо!
--
С уважением, Владимир Гусев
^ permalink raw reply [flat|nested] 6+ messages in thread
* Re: [Comm] squid - распределение доступа по времени
2005-04-04 13:04 ` Eugene Ostapets
@ 2005-04-04 16:20 ` Владимир Гусев
0 siblings, 0 replies; 6+ messages in thread
From: Владимир Гусев @ 2005-04-04 16:20 UTC (permalink / raw)
To: community
>> Подскажите на пальцах, как тут логика работает? как сделать?
> В acl работает логическое ИЛИ
> В http_access работает логическое И
> Проверка перкращается при нахождении первого правила http_access под
> которое подпадает соединение
>>
>> И можно строчки про баннеры врезать между определением acl и раздачей
>> доступа к http_access ?
>
Спасибо!
--
С уважением, Владимир Гусев
^ permalink raw reply [flat|nested] 6+ messages in thread
end of thread, other threads:[~2005-04-04 16:20 UTC | newest]
Thread overview: 6+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2005-04-04 12:49 [Comm] squid - распределение доступа по времени Владимир Гусев
2005-04-04 12:56 ` Владимир Гусев
2005-04-04 13:04 ` Eugene Ostapets
2005-04-04 16:20 ` Владимир Гусев
2005-04-04 13:09 ` Alexey Morsov
2005-04-04 16:20 ` Владимир Гусев
ALT Linux Community general discussions
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/community/0 community/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 community community/ http://lore.altlinux.org/community \
mandrake-russian@linuxteam.iplabs.ru community@lists.altlinux.org community@lists.altlinux.ru community@lists.altlinux.com
public-inbox-index community
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.community
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git