[Sysadmins] squid parrent proxy

[Sysadmins] squid parrent proxy

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Hi,
Возникла проблема. Помогите решить.
Есть локалка. Она на "серых" адресах. В Инет все ходят через
прокси. Сейчас бухгалтерам надо пользоваться клиент-банком. Клиент
не работает. Вроде как, при работе через прокси ему надо чтоб наш
прокси перенацеливался на два их прокси с конкретными портами.
Т.е. если клиент хочет обратиться к IP:port наш прокси должен
посылать запрос к их прокси:порт именно как к родительскому прокси.
Пытаюсь делать
cache_peer 83.137.88.28       parent    9091  0  proxy-only no-query
acl bank dst 83.137.88.28/32
cache_peer_access 83.137.88.28/32 allow bank

И отваливается доступ ко всем сайтам. Чего не хватает?
сache_peer_access 83.137.88.28/32 deny all
?
или чего-то другого? Или я вообще не туда копаю?
Почему обрывается доступ к остальным ресурсам?
- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.12 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iF4EAREIAAYFAk+FrvIACgkQpBPgR3404hPzMQD/bWfL4O5Lp8yp30WG9txBQvbH
Er+BwfM+XODQakNGrmYA/1/3arscMMl1dgvXPZ5qanNvi0YKzDb0KNRETEvYGJjl
=/vql
-----END PGP SIGNATURE-----

Re: [Sysadmins] squid parrent proxy

[Dubrovskiy Viacheslav]

11.04.2012 12:18, Andrii Dobrovol`s`kii пишет:
> -----BEGIN PGP SIGNED MESSAGE-----
> Hash: SHA256
>
> Hi,
> Возникла проблема. Помогите решить.
> Есть локалка. Она на "серых" адресах. В Инет все ходят через
> прокси. Сейчас бухгалтерам надо пользоваться клиент-банком. Клиент
> не работает. Вроде как, при работе через прокси ему надо чтоб наш
> прокси перенацеливался на два их прокси с конкретными портами.
> Т.е. если клиент хочет обратиться к IP:port наш прокси должен
> посылать запрос к их прокси:порт именно как к родительскому прокси.
> Пытаюсь делать
> cache_peer 83.137.88.28       parent    9091  0  proxy-only no-query
> acl bank dst 83.137.88.28/32
> cache_peer_access 83.137.88.28/32 allow bank
>
> И отваливается доступ ко всем сайтам. Чего не хватает?
> сache_peer_access 83.137.88.28/32 deny all
> ?
> или чего-то другого? Или я вообще не туда копаю?
> Почему обрывается доступ к остальным ресурсам?

defaultsite стоит?
cache_peer правильно задан?

Я делал с помощью mysql_acl реверсивный прокси. Но можно юзать обычный 
acl. Вот пример рабочего конфига.

http_port 80 accel defaultsite=mysite vhost
external_acl_type mysql_acl protocol=2.5 cache=10240 children=60 %SRC 
%DST /usr/bin/mysql_acl

acl list1 external mysql_acl site1
acl list2 external mysql_acl site2
acl list3 external mysql_acl site3
http_access allow list1
http_access allow list2
http_access allow list3
cache_peer 111.111.111.111 parent 80 0 no-query originserver name=server1
cache_peer 222.222.222.222 parent 80 0 no-query originserver name=server2
cache_peer 333.333.333.333  parent 80 0 no-query originserver name=server3
cache_peer_access server1 allow list1
cache_peer_access server2 allow list2
cache_peer_access server3 allow list3

-- 
WBR,
Dubrovskiy Viacheslav

Re: [Sysadmins] squid parrent proxy

[Dubrovskiy Viacheslav]

11.04.2012 12:42, Dubrovskiy Viacheslav пишет:
> 11.04.2012 12:18, Andrii Dobrovol`s`kii пишет:
>> -----BEGIN PGP SIGNED MESSAGE-----
>> Hash: SHA256
>>
>> Hi,
>> Возникла проблема. Помогите решить.
>> Есть локалка. Она на "серых" адресах. В Инет все ходят через
>> прокси. Сейчас бухгалтерам надо пользоваться клиент-банком. Клиент
>> не работает. Вроде как, при работе через прокси ему надо чтоб наш
>> прокси перенацеливался на два их прокси с конкретными портами.
>> Т.е. если клиент хочет обратиться к IP:port наш прокси должен
>> посылать запрос к их прокси:порт именно как к родительскому прокси.
>> Пытаюсь делать
>> cache_peer 83.137.88.28       parent    9091  0  proxy-only no-query
>> acl bank dst 83.137.88.28/32
>> cache_peer_access 83.137.88.28/32 allow bank
>>
>> И отваливается доступ ко всем сайтам. Чего не хватает?
>> сache_peer_access 83.137.88.28/32 deny all
>> ?
>> или чего-то другого? Или я вообще не туда копаю?
>> Почему обрывается доступ к остальным ресурсам?
>
> defaultsite стоит?
> cache_peer правильно задан?
>
> Я делал с помощью mysql_acl реверсивный прокси. Но можно юзать обычный 
> acl. Вот пример рабочего конфига.
>
> http_port 80 accel defaultsite=mysite vhost
> external_acl_type mysql_acl protocol=2.5 cache=10240 children=60 %SRC 
> %DST /usr/bin/mysql_acl
>
> acl list1 external mysql_acl site1
> acl list2 external mysql_acl site2
> acl list3 external mysql_acl site3
> http_access allow list1
> http_access allow list2
> http_access allow list3
> cache_peer 111.111.111.111 parent 80 0 no-query originserver name=server1
> cache_peer 222.222.222.222 parent 80 0 no-query originserver name=server2
> cache_peer 333.333.333.333  parent 80 0 no-query originserver 
> name=server3
> cache_peer_access server1 allow list1
> cache_peer_access server2 allow list2
> cache_peer_access server3 allow list3
>
в вашем случае попробуйте так:

acl bank dst 83.137.88.28/32
http_access allow bank
cache_peer 83.137.88.28 parent 9091  0 no-query originserver 
name=bank_server
cache_peer_access bank_server allow bank

Прошу заметить, что последовательность важна. И особенно важна 
http_access allow bank, т.к. без этого не работает. Когда-то долго 
гуглил и экспериментальным путем выяснил, что если нету како-то 
http_access до вызова cache_peer_access, то последний не видит acl.

-- 
WBR,
Dubrovskiy Viacheslav

Re: [Sysadmins] squid parrent proxy

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Dubrovskiy Viacheslav пишет:
> в вашем случае попробуйте так:
> 
> acl bank dst 83.137.88.28/32 http_access allow bank cache_peer
> 83.137.88.28 parent 9091  0 no-query originserver 
> name=bank_server cache_peer_access bank_server allow bank
> 
> Прошу заметить, что последовательность важна. И особенно важна 
> http_access allow bank, т.к. без этого не работает. Когда-то
> долго гуглил и экспериментальным путем выяснил, что если нету
> како-то http_access до вызова cache_peer_access, то последний
> не видит acl.
> 
Спасибо попробую. Только хочу понять логику...
первый акль понятен. Второй не очень, но раз Вы по опыту считаете,
что без него никак, то тоже принимаю как данность. В определении
пира,имеет ли смысл добавить  proxy-only? Или могут быть проблемы?
- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.12 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iF4EAREIAAYFAk+GqxEACgkQpBPgR3404hMtsQD/XrrtVq6XEuCa7hyfBGsfiI8y
hKdmhuJDEa5J3KNhx1UA/RvDTuINSvfveTgNz5eQY4jIm5Y8M9Rlt5QNNYGXgsx7
=J0tw
-----END PGP SIGNATURE-----

Re: [Sysadmins] squid parrent proxy

[Dubrovskiy Viacheslav]

12.04.2012 06:14, Andrii Dobrovol`s`kii пишет:
>> в вашем случае попробуйте так:
>>
>> acl bank dst 83.137.88.28/32 http_access allow bank cache_peer
>> 83.137.88.28 parent 9091  0 no-query originserver
>> name=bank_server cache_peer_access bank_server allow bank
>>
>> Прошу заметить, что последовательность важна. И особенно важна
>> http_access allow bank, т.к. без этого не работает. Когда-то
>> долго гуглил и экспериментальным путем выяснил, что если нету
>> како-то http_access до вызова cache_peer_access, то последний
>> не видит acl.
>>
> Спасибо попробую. Только хочу понять логику...
> первый акль понятен. Второй не очень, но раз Вы по опыту считаете,
> что без него никак, то тоже принимаю как данность. В определении
> пира,имеет ли смысл добавить  proxy-only? Или могут быть проблемы?
Не могу сказать. Надо доку почитать. Уже года 2 как отказались от сквида 
и перешли на nginx.

-- 
WBR,
Dubrovskiy Viacheslav

Re: [Sysadmins] squid parrent proxy

[Andrii Dobrovol`s`kii]

-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA256

Dubrovskiy Viacheslav пишет:
> 12.04.2012 06:14, Andrii Dobrovol`s`kii пишет:
>>> в вашем случае попробуйте так:
>>> 
>>> acl bank dst 83.137.88.28/32 http_access allow bank
>>> cache_peer 83.137.88.28 parent 9091  0 no-query
>>> originserver name=bank_server cache_peer_access bank_server
>>> allow bank
>>> 
>>> Прошу заметить, что последовательность важна. И особенно
>>> важна http_access allow bank, т.к. без этого не работает.
>>> Когда-то долго гуглил и экспериментальным путем выяснил,
>>> что если нету како-то http_access до вызова
>>> cache_peer_access, то последний не видит acl.
>>> 
>> Спасибо попробую. Только хочу понять логику... первый акль
>> понятен. Второй не очень, но раз Вы по опыту считаете, что
>> без него никак, то тоже принимаю как данность. В определении 
>> пира,имеет ли смысл добавить  proxy-only? Или могут быть
>> проблемы?
> Не могу сказать. Надо доку почитать. Уже года 2 как отказались
> от сквида и перешли на nginx.
> 
Понял. Спасибо. Пока всех в сеть пускает, а программа таки не
работает... Будем её дальше мучить.

- -- 
Rgrds,
Andriy
*********************************************************************
email: dobr at iop dot kiev dot ua            Kyiv, Ukraine
Phone: (380-44)   525-7824            Department of Gas Electronics
Fax:   (380-44)   525-2329             Institute of Physics of NASU
*********************************************************************
-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.12 (GNU/Linux)
Comment: Using GnuPG with Mozilla - http://enigmail.mozdev.org/

iF4EAREIAAYFAk+G/ZAACgkQpBPgR3404hPPUgD9HCxSKZ6GuPNxnOSAbBTILYsl
Qp91kxOteGARHKl3cgEA/RT0EoUWwgwpQIIYnIYYpXKZ6UqtmzQK2vXZ8pUtb9VE
=0qND
-----END PGP SIGNATURE-----