Newsgroup: it.comp.sicurezza.varie
Titolo: Acl:piccola domanda su un accesso negato.

Ho IPCOP 103 con tutte le patch rilasciate ad oggi.
Linea Hdsl 2Mbit.
Dopo un cambio di provider per la posta
devo accedere a un pannello di controllo per
la gestione delle caselle di posta.
l'indirizzo da immettere e':
http://nomedominio/admin
Mi da un errore 403 di accesso negato.
Provando da un pc connesso senza Ipcop via modem accedo
regolarmente
Vedo nel log di Squid la seguente riga:
1083144407.273 7 192.168.0.4 TCP_DENIED/403 978 CONNECT
IP_DI_DESTINAZIONE:19638 - NONE/- -
Quindi mi blocca l'accesso alla porta 19638 (se non ho capito male).
Se controllo squid.conf vedo che tra le Safe port Ipcop ha compreso tutte quelle
tra la 1024 e la 65535 quindi non dovrebbe essere compresa anche la 19638 di
destinazione?
Le regole in squid.conf sono sotto.
Dal poco che capisco, credo che nella prima parte definisca quali sono le porte
definite "Safe" per la connessione dalla rete interna.
Poi definisce il metodo allow o deny in base al fatto che una porta sia Safe o no:
Mi dice che e' negato l'accesso a tutto tranne alle porte definite "Safe" (!Safe_ports)
e "Ssl Safe" (pero' in questo caso e' preceduto da CONNECT, cosa significa questa
differenza?)
Se quindi la 19638 e' nel range delle Safe port, perche' mi nega l'accesso al sito?
Cosa dovrei aggiungere ?
Variando squid.conf le modifiche sono attive solo se riavvio ipcop o come iptables
sono attive nel momento in cui si aggiunge la regola?
acl all src 
0.0.0.0/0.0.0.0
acl localhost src 
127.0.0.1/255.255.255.255
acl localnet src 
192.168.0.0/255.255.255.0
acl SSL_ports port 443 563 19638
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 800 # Squids port (for icons)
acl IPCop_http port 81
acl IPCop_https port 445
acl IPCop_ip dst 192.168.0.254
acl CONNECT method CONNECT
http_access allow localhost
http_access allow IPCop_ip localnet IPCop_http
http_access allow CONNECT IPCop_ip localnet IPCop_https
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localnet
http_access deny all

 http_access deny CONNECT !SSL_ports
-- 
*    HappyCactus - Linux User #209744 - BOFH Certified Engineer    *
*                         
http://www.google.com
                    *
*                                                                  *
*                           ET IN ARCADIA EGO                      *


Avevo aggiunto la porta 19638 tra le SSL_ports, ma non
funzionava, ho riavviato Ipcop e ora posso accedervi.
Quindi a quanto pare la porta 19638 doveva essere specificata
tra quelle permesse per il metodo Connect e non per il semplice
allow Safe_ports
Piu' che altro mi interessa capire se le spiegazioni che ho
provato a darmi prima, siano piu' o meno corrette e vorrei
capire se e' possibile applicare la regola senza riavviare l'intero
IpCop.

 l'intero IpCop.
Si, basta riavviare solo Squid, in pratica apri la pagina
di amministrazione di squid e premi il bottone "salva"
(anche se non hai modificato nulla) questo riavvia il
proxy e carica le nuove impostazioni; ovvio che la
stessa cosa potrebbe essere fatta "a manovella"
utilizzando SSH
Ciao

 utilizzando SSH
Si' mi sono collegato con WinScp per editarlo, ma non ho
capito quale sia il comando per riavviare il demone, quindi
ho riavviato la macchina.
Non lo faccio dall'interfaccia di Ipcop, poiche' in un vecchio
post di Luca Sasdelli si parlava di problemi di riavvio di squid,
facendo in questa maniera (in effetti mi capitava che non ripartisse
e dovessi ristoppare il proxy e riavviarlo dal pulsante), e di rischio
di sovrascrittura delle impostazioni appena editate in squid.conf
Intanto grazie.

 riavviare il demone, quindi ho riavviato la macchina.
Uh .. beh .. leggere il manuale di Squid no eh :-) ??
vabbè ...
squid -k reconfigure
forza squid a ricaricare e riapplicare squid.conf e le
relative modifiche fatte al file di configurazione
Ciao