Newsgroup: it.comp.sicurezza.varie
Titolo: ACL Squid

Salve a tutti,
qualcuno è già riuscito a dare la corretta sintassi  nelle ACL di Squid, in
modo che uno specifico utente venga bloccato su uno specifico indirizzo ip,
o girandola, che un specifico utente venga autenticato solo se proveniente
da un determinato indirizzo?
Preciso che il database utenti è su CiscoSecure su una seconda macchina.
Grazie in anticipo a tutti.
Saluti
Roberto
°°° Posted from X-Privat Free NNTP server - 
www.x-privat.org
 °°°

Preciso che il database utenti è su CiscoSecure su una seconda macchina.
Um. Ti serve per prima cosa un programma autenticatore
authenticate_program	usr/local/bin/ciscoauth -h ciscoip
authenticate_children 	5 # si fa per dire
authenticate_ttl	15 min
poi definisci le apposite acl
acl password	proxy_auth REQUIRED
acl budiulo	proxy_auth mrossi		# Pòro Mario
proxy_auth_realm	Accesso ad Internet
http_access	allow	localhost
http_access	allow	securenet
http_access	deny	budiulo
http_access	allow	password
A questo punto, se si collega Gianni Verdi, arrivato alla ACL di deny gli
verra' chiesta una autenticazione (non c'e' modo di evitarlo, del resto),
e una volta che il sistema avra' visto che non e' un budiulo, Squid lo fa
passare (la acl successiva pensa a cio').
Mario Rossi, viceversa, n'arimbarza.
Leonardo (salvo errori ed omissioni)
-- 
"Se e' vero che Linux in se' e' gratis, non lo sono le indispensabili
interfacce grafiche (X, KDE ecc.) che consentono alle persone normali
di utilizzarlo."                    -- Jason Matusow, Microsoft Corp.

 ha scritto nel messaggio
news:8f6alvc5dl0fcvvut...@L.Serni...

Mmm... però non ho capito in quella sintassi dove viene associato
l'indirizzo ip all'utente... dove viene detto che Mario Rossi verrà
autenticato solo se proviene dall'ip 192.168.xxx.xxx? Magari ho solo
lasciato il cervello sul cuscino a dormire...


autenticato solo se proviene dall'ip 192.168.xxx.xxx?
Pure?
Okay, aggiungi una ACL
acl	ipdelrossi	src 
192.168.42.42/255.255.255.255
e poi, dopo "allow securenet" (la rete che _non_ si autentifica),
metti
http_access	allow	!ipdelrossi
Questo significa che, dagli indirizzi DIVERSI da quelli del Mario
Rossi, chiunque (anche Mario Rossi) si puo' collegare senza pass.
Leonardo
-- 
the shadow of the dome of pleasure
floated midway on the waves,
where was heard the mingled measure
from the fountain and the caves.

 Leonardo
Non ci crederai mai, ma deve essere comunque autenticato... l'obbiettivo,
all'atto pratico ,è quello di fare in modo che gli utenti non si vendano le
user/passwd all'interno dell'azienda. User, password, ip...
Che te devo dì, so' degli invasati, quì...



Allora inverti la policy
http_access allow localhost
http_access deny !securenet # solo dalla rete interna
http_access allow password  # e solo se autenticati
Ciaotutti,
* - a braccio

Non ci crederai mai, ma deve essere comunque autenticato...
Sto cominciando a non capirci piu' niente :-)
Facciamo cosi': diciamo che ci sono tre computer, Alfa, Beta, Gamma;
e su questi tre computer possono girare quattro utenti, Aleph, Beth,
Gimel e Daleth.
Dimmi cazz'afa' un povero calamaro nei dodici casi (user, station) e
io vedo se e' qualcosa di ACLabile.
Per l'autenticazione via CiscoSecure, prova
 
http://selm.www.cistron.nl/authtools/
ma mi sa che dovrai scriverti tu il modulino.
Leonardo



San Giuda! Invertire la policy sarebbe una cosa lunghetta... avrei una
quarantina di regole applicate... con relativi oggetti definiti...
Grazie comunque!


 quarantina di regole applicate... con relativi oggetti definiti...
Mmm, ok, ho riletto il post originale.
Quello che vuoi tu e' un and sulla medesima regola. Ovvero (pseudoacl):
utente = tizio, ip = ip_di_tizio => allow
utente = caio, ip = ip_di_caio => allow
[...]
else deny
Uhm...
Direi che la regola e':
http_access deny tizio !ip_di_tizio
[...]
http_access allow password
Ovviamente la prima riga va inserita per ogni utente: in questo modo neghi
accesso ad ogni utente che non si colleghi dal suo ip, e se il caso non si
presenta consenti l'accesso a tutti gli utenti verificati.
HTH,
* -- che non ha mai visto squid ma conosce google

 ma mi sa che dovrai scriverti tu il modulino.
Il modulino esterno è già lì da tempo immemore (squid_rad_auth), dic che
sarebbe tutto da rifà?
Grazie Leonardo.
Roberto


 di ACL sono state rivendute all'epoca a 6 mileioni di laire...
Tu naturalmente sai che devi a Leonardo il 30%[1] per la consulenza...
Ciaotutti,
*
[1] Piu' iva, s'intende... Quindi il 50%.

sarebbe tutto da rifà?
Nooo! Basta integrarlo. Ue', siamo su Linux :-), il "modulino" sono dieci
righe di bash a far tanto.


sono state rivendute all'epoca a 6 mileioni di laire...
Ti daro' l'indirizzo della mia wish list su Amazon :-)



...mica è tuo cugggino? :-)


 /me e cazzo, lo sapevo che avevo chiesto troppo poco...
Occhio che 'ste cose sono legali solo in ambiente Fiat! );-)


 righe di bash a far tanto.
'aaaaazzz!! So su Solaris..! :-)
I miei più sentiti complimenti. (Li senti?)


'aaaaazzz!! So su Solaris..! :-)
Ce l'avrai una shell, neh? Sarai mica un ${HOME}less.


 Ce l'avrai una shell, neh? Sarai mica un ${HOME}less.
Ma ROTFL :-D
-- 
Emanuele Balla  aka Skull -  Public Key #661E5CBF on 
www.keyserver.com
+----------------------------------------------------------------------+
"And 1.1.81 is officially BugFree(tm), so if you receive any bug-reports
on it, you know they are just evil lies." (By Linus Torvalds)