[Comm] squid - распределение доступа по времени

[Comm] squid - распределение доступа по времени

[Владимир Гусев]

Здравстввуйте!

Как я упоминал в других тредах, посвященных squid, прочитал уйму мануалов, вроде потихоньку начинаю въезжать во все это и теперь самые основные операции - прозрачный прокси, неавторизованный доступ у всех в сети есть, баннеры режутся  (acl acl_banner   url_regex -i "/etc/squid/banner"  | http_access deny  acl_banner). Хотелось уже настроить доступ по времени..

Сделал так:

acl postshop src 192.168.1.0/255.255.255.0     вся сеть
acl admin src 192.168.1.1 192.168.1.3 192.168.1.49    "небожители", которым все можно
acl france src 192.168.1.4 192.168.1.9 192.168.1.19 192.168.1.54 - боссы, которым можно больше, чем остальным, но не все:)
acl localhost src 127.0.0.1/255.255.255.255 - это ясно
acl Safe_ports port 80 443 210 119 70 20 21 1025-65535 - это тоже ясно (правда не совсем)
acl CONNECT method CONNECT - с этим вообще провал (читал про метод CONNECT) оставил как есть..
acl all src 0.0.0.0/0.0.0.0 - ну тут тоже все ясно

acl pshop time MTWHF 09:00-18:00 - время для postshop
#acl adm time MTWHFAS 00:01-23:59 - время для тех, кому все можно - но кажется этот acl не пригодится
acl fra time MTWHFA 09:00-22:00 - время для боссов

acl acl_banner   url_regex -i "/etc/squid/banner"
http_access deny  acl_banner

http_access allow france fra - доступ в инет боссам по расписанию fra
http_access allow postshop pshop - доступ в инет всем остальным (кроме admin и france) по расписанию pshop
http_access allow admin - доступ админам всегда
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all

И вот не работает..
Пробовал так:
http_access deny france !fra - доступ в инет боссам по расписанию fra
http_access deny postshop! pshop - доступ в инет всем остальным (кроме admin и france) по расписанию pshop
http_access allow admin - доступ админам всегда
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all

Тоже не работает.. нет доступа никому
И вот так читал:

http_access allow france fra
http_access deny france
http_access allow postshop pshop
http_access deny postshop
http_access allow admin
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT
http_access deny all

Тоже не работает - нет доступа никому

Подскажите на пальцах, как тут логика работает? как сделать?

И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?

--
С уважением, Владимир Гусев

Re: [Comm] squid - распределение доступа по времени

[Владимир Гусев]

> Подскажите на пальцах, как тут логика работает? как сделать?
>
> И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?
>

И еще вопросы - на что влияет параметр client_netmask и какое значение предпочтительнее?
В /var/log/squid/access.log не должны фиксироваться значения IP из локалки? Типа, кто куда ходил?

-- 
С уважением, Владимир Гусев

Re: [Comm] squid - распределение доступа по времени

[Eugene Ostapets]

On Apr 4, 2005 3:49 PM, Владимир Гусев <vova1971@narod.ru> wrote:
> Здравстввуйте!
> 
> Подскажите на пальцах, как тут логика работает? как сделать?
В acl работает логическое ИЛИ
В http_access работает логическое И
Проверка перкращается при нахождении первого правила http_access под
которое подпадает соединение
> 
> И можно строчки про баннеры врезать между определением acl и раздачей доступа к http_access ?

-- 
С уважением,
Евгений Остапец
uin: 23747217
jid: eugene_ostapets@jabber.ru

Re: [Comm] squid - распределение доступа по времени

[Владимир Гусев]

>> Подскажите на пальцах, как тут логика работает? как сделать?
> В acl работает логическое ИЛИ
> В http_access работает логическое И
> Проверка перкращается при нахождении первого правила http_access под
> которое подпадает соединение
>>
>> И можно строчки про баннеры врезать между определением acl и раздачей  
>> доступа к http_access ?
>

Спасибо!

-- 
С уважением, Владимир Гусев

Re: [Comm] squid - распределение доступа по времени

[Alexey Morsov]

Владимир Гусев wrote:

> Тоже не работает - нет доступа никому
acl weekend time SA 00:00-23:59
Это время - для примера (у меня так надо)

http_access allow manager morsov
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports !Jabber_ports morsov
Это касаемо CONNECT

http_access deny chelyshev internet weekend
http_access allow localhost morsov
http_access allow internet ricom
http_access allow internet rts_ricom
http_access deny all
icp_access allow all

squid парсит ваши acl до первого совпадения... на нем и останавливается 
(точнее применяет то правило на котором сошлось)
Т.е. в моем примере он проверят "если пакет от chelyshev и в internet и 
щаз weekend то deny" или "если пакет от ricom в internet то разреши")
Лучше всего чтобы сначал шли все разрешения для ваших подсетей (и 
адресов) а уж потом глобальные запреты.


-- 
Всего наилучшего,
Системный Администратор ЗАО "ИК "РИКОМ-ТРАСТ"
Алексей Морсов
ICQ: 196766290
Jabber: Samurai@jabber.pibhe.com
http://www.ricom.ru
http://www.fondmarket.ru

Re: [Comm] squid - распределение доступа по времени

[Владимир Гусев]

> squid парсит ваши acl до первого совпадения... на нем и останавливается  
> (точнее применяет то правило на котором сошлось)
> Т.е. в моем примере он проверят "если пакет от chelyshev и в internet и  
> щаз weekend то deny" или "если пакет от ricom в internet то разреши")
> Лучше всего чтобы сначал шли все разрешения для ваших подсетей (и  
> адресов) а уж потом глобальные запреты.
>
>

Спасибо!


-- 
С уважением, Владимир Гусев