Newsgroup: it.comp.os.linux.sys
Titolo: Proxy e acls

Ciaooooo
Ma qualcuno di voi per caso sa com'è possibile rendere un indirizzo IP
bannato?
Mi spiego meglio: vorrei che su un determinato indirizzo IP non si possa
accedere.
Il proxy è uno squid.
Grazie
Francesco.

 accedere.
in squid.conf c'e' una sezione relativa alle ACL:
acl PIPPO src insieme_di_indirizzi
http_access deny PIPPO
--
Massimiliano

 > Ma qualcuno di voi per caso sa com'č possibile rendere un indirizzo IP


 wrote in message
news:b18a4m$o4k$1...@grillo.cs.interbusiness.it...

...
veramente t sei risposto nell'oggetto...
usa le acl...
se poi il problema è la sintassi, per quella basta scorrere squid.conf per
trovare come e dove inserire la riga necessaria.
se proprio la pigrizia t assale (il mio caso...) installi webmin e configuri
da lì.

 wrote in message
quoting a parte...
magari t и sfuggito che le regole vengono parsate in maniera sequenziale.
la prima che ha una corrispondenza con l'indirizzo da controllare, ferma la
scansione delle altre.
quindi magari hai una regola che abilita il client e poi hai quella che
blocca l'ip del server.
vedi un pт d sistemare l'oridne e tieni presente che in una stessa regola,
puoi impostare piщ criteri.
io, ad esempio, ho una regola per ogni ufficio (ovviamente conoscendo gli
ip/nomi macchina dei client...)
ogni ufficio ha accesso solo a determinati siti.
si fa impostando l'accoppiata nome client/nome server.

 puoi impostare piů criteri.



?????
la mia regola di default è DENY ALL
la tua regola non è molto salutare...
quale viene usata, dipende dall'ordine in cui sono...
se hai
ALLOW ALL
DENY 
www.pornosito.com
la seconda regola non serve a niente...
io faccio:
DENY AdServers
DENY SitiProibiti
ALLOW LanLocale WebPermessi
DENY ALL
penso che le definizioni siano abbastanza esplicative :-)
in questo modo, consento l'accesso solo ed esclusivamente a client della lan
e solo per quei siti che sono consentiti.

 wrote in message
news:2BTZ9.60577$ZE.16...@twister2.libero.it...


 Francesco.
io parto dal presupposto che tutto quello che c'è dalla dmz in poi non è
affidabile...
fossi in te, lascerei il bind d squid solo sull'interfaccia interna.
non conviene una regola per ogni indirizzo, ma trovare il modo di
raggruppare i client a seconda dei permessi.
in una acl, puoi mettere un elenco di nomi macchina (una sola voce per una
lista di macchine) o una lista di ip (soluzione possibile se non hai dhcp).
una volta creata la acl per il gruppo di macchine, la associ a una delle acl
contenenti i siti permessi o bloccati e il gioco è fatto: ottieni delle
proxy restrictions che permettono al tal gruppo di vedere i tali siti o che
permettono al tal gruppo di vedere tutto tranne i siti porno.
poi c sono le restrictions generali, quelle, ad esempio, che impediscono
l'accesso al proxy a ip non della lan (paranoia, ma non si sa mai...),
quelle che bloccano i siti di ads (se la linea è a traffico...)
in questo caso, hai delle restrictions composte da una sola acl.
queste, ad esempio, sono le proxy restrictions che uso io:
Allow manager localhost
Deny manager
Deny !Safe_ports
Deny CONNECT !SSL_ports
Allow localhost
===== fino a qui sono quelle d default
Deny Advertising  <- niente pubblicità per nessuno
Allow ClientCED  <- al ced tutto è permesso...
Allow AccessoCompleto  <- il capo :-)
Allow LocalNET ServerLocali  <- permetto a tutti di accedere ai server
locali
(la voce qui sopra, dovrebbe essere inutile, ma non si sa mai...)
Allow uff.acquisti_Client uff.acquisti_WebServer  <- l'ufficio acquisti che
deve vedere qualche listino
Allow GerberClient GerberWeb  <- applicativo particolare
Allow WindowsUpdate  <- per gli aggiornamenti
Deny all  <- catch all

 wrote in message
news:806_9.62198$YG2.1...@twister1.libero.it...


 Ora, c'č anche il modo di settarlo con l'url? Mi pare di si, anche se


NON E' UN IMPRESSIONE...
ho messo 3 ACL e mi ha rallentanto in modo pazzesco la navigazione....
e allora le ho tolte :(

 
cosě nessuno puň vederli...
se il capo vuole proprio quello, senza che possano arrivarci gli altri, 
cosa fai?
soluzione:
acl GruppoClient src 
192.168.0.0/24
acl SitoWeb dstdomain .
applicazione.com
http_access allow GruppoClient SitoWeb
ai client 
192.168.0.0/24
 č consentito visitare *.
applicazione.com
se metti nelle restriction una sola acl x volta, puoi fare poco o 
niente, o meglio puoi fare solo le regole generali.
devi metterle a coppie, per fare filtri ad hoc.
ripeto: io parto dal presupposto che il default sia DENY
ps: quota un pň meglio...
-- 
+-----
| Paolo opg
|
| janickg ( at ) hotmail ( dot ) com
+-----

 ps: quota un pň meglio...
Ci provo :)

Ultima curiosità:
Te che sai un sacco di cose: è possibile impostare una regola per cui un
determinato sito non venga loggato?
Grazie mille