Newsgroup: it.comp.os.linux.sys
Titolo: Dansguardian

Ciao a tutti.
Stavo facendo alcuni esperimenti con Dansguardian (+antivirus se può
interessare) ma ho trovato alcuni limitazioni.
1) come si fa ad aggiungere un intero server remoto (in base al suo
ip) alla lista delle exception? Posso usare gli IP, ma funziona solo
se viene digitato l'indirizzo IP come indirizzo e non fa riferimento
all'IP del server indipendentemente dal dominio a cui si vuole
accedere (squid permette di farlo con delle acl)
2) come faccio ad inserire un intero range di IP, ad esempio /21 nelle
exception? Devo farlo uno alla volta? Improponibile
3) Come da punto 2, se avessi una rete con 100 client, e volessi
mettere in exception alcuni IP della lan locale, non dovrò mica farlo
uno per uno vero?
Sono limitazioni talmente grosse che mi fanno pesare ad una mia scarsa
conoscenza del prodotto, non riesco a credere (e non voglio crederci)
che DG non sia in grado di gestire IP remoti ed allocazioni.
Se dovessi whitelistare, ad esempio, tutta la mia rete pubblica,
sarebbe impossibile inserire gli IP uno alla volta.

 accedere (squid permette di farlo con delle acl)
Googolando in giro non ho trovato alcuna soluzione.
Confermate anche voi che non è possibile?

 Confermate anche voi che non è possibile?
AFAICT confermo.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.

 AFAICT confermo.
Bel bidone allora.
Devo whitelistare una /21, potrei fare uno script che mi metta riga
per riga gli IP, peccato che poi non funzionerebbe ugualmente
dato che dansguardian non verifica l'IP remoto della macchina ma solo
quello passato come URL.
Veramente bel bidone.

 accedere (squid permette di farlo con delle acl)
lo fai fare allo squid a cui dansguardian passa la palla.
ciao,
stefano

 lo fai fare allo squid a cui dansguardian passa la palla.
ho detto una ca$$ata.
chiedo perdono, avevo letto di fretta la domanda :-)
ciao,
stefano

 Confermate anche voi che non è possibile?
E' la PRIMA delle faq di dansguardian ;^)
1. I want ACL-like features where different users and groups and
subnets and times have different settings. Can DansGuardian do this?
No*. It can switch off filtering for certain users, sites and IPs, but
not varying degrees. This ability you desire is called ACLs. Nor can
it block for ranges of IPs or subnets. Nor can it block by time of
day. If you need this install squidGuard also.
Prova a guardare squidguard... :^)
bye!

 Prova a guardare squidguard... :^)
Uff.
Quindi squidguard + dansguardian + squid.
Mamma mia!

 Quindi squidguard + dansguardian + squid.
Ma ti serve davvero dansguardian? Usi realmente i filtri basati su parole
contenute nel testo? Se è solo per l'antivirus e per le blacklist, puoi fare
squid+squidguard+havp che è + leggero.


 Quindi squidguard + dansguardian + squid.
Ma anche no:
io devo filtrare in base al contenuto della pagina (frasi) quindi
tramite dansguardian ECCETTO determiante subnet
Mettendo SG+DG+Squid, dansguardian filtrerebbe tutto indipendentemente
dalle ACL di SG
Mettendo DG+SG+Squid, DG filtrerebbe tutto comunque.
Forse una soluzione (non so se attuabile) sarebbe quella di dire a SG
di usare DG tranne che per determinate subnet.
E' possibile, con SG, decidere il parent proxy in base alle ACL? ACL1
passa con DG, ACL2 passa da squid direttamente.
Però così facendo perderei l'antivirus per la subnet extra-DG

 Perň cosě facendo perderei l'antivirus per la subnet extra-DG
Per quella usi come pp havp.
Ma personalmente mi pare un accrocchio.


 Ma personalmente mi pare un accrocchio.
Ben appunto, 4 applicativi diversi per fare una cosa teoricamente
banale mi sembra un accrocchio anche a me.
Leggevo in giro di usare:
squid + DG + squid
che IMHO è sicuramente meglio che usare SG+DG+squid (per le mie
necessità, devo fare solo acl con la prima istanza)
ma il problema sarebbe sempre lo stesso: perderei l'antivirus di DG.
Altra soluzione, ancora peggio: squid|SG + DG content filter + DG solo
antivirus + squid
dal primo squid|SG posso bypassare il primo DG di content filtering
senza però perdere l'antivirus, fatto in uno stadio successivo.
Mi sembra incredibile che non ci sia una Soluzione con la S maiuscola.
(possibile che nessuno abbia mai fatto una patch per DG per permettere
le ACL?!?)

 tramite dansguardian ECCETTO determiante subnet
potresti usare squid in testa a dansguardian (che poi rigira le
richieste sempre allo stesso squid), in modo che le subnet "eccezioni"
navighino senza passare per dansguardian.
la configurazione potrebbe essere qualcosa del tipo: (l'ho buttata giù
di getto, ma dovrebbe funzionare :-) )
[dansguardian.conf]
...
filterip = 192.168.10.10
filterport = 8080
proxyip = 127.0.0.1
proxyport = 8081
...
[squid.conf]
...
http_port 
192.168.10.10:3128
http_port 
127.0.0.1:8081
...
acl my_ips dst 192.168.10.10
acl allow_direct src 192.168.10.15-192.168.10.25/
255.255.255.255
...
cache_peer 127.0.0.1 parent 8080 0 no-query no-digest no-netdb-
exchange
cache_peer_access 127.0.0.1 deny localhost
cache_peer_access 127.0.0.1 deny allow_direct
cache_peer_access 127.0.0.1 allow all
always_direct allow my_ips
always_direct allow allow_direct
never_direct allow all !localhost !allow_direct
...
http_access allow localhost
...
ciao,
stefano

 navighino senza passare per dansguardian.
Perderei l'antivirus.
E no, installare un secondo antivirus parallelo non è una soluzione.

 le ACL?!?)
Endian?

 Endian?
Ma anche no.