Newsgroup: it.comp.os.linux.sys
Titolo: blacklists.

Qualcuno usa squidguard per filtrare i siti internet?
Su quali blacklist vi appoggiate?

 Lo usavo, ma ormai preferisco whitelistare piuttosto che blacklistare.
Cioe' blocchi tutto per default e abiliti solo determinati siti?


Sì.
-- 
Flavio Visentin
Scientists have finally discovered what's wrong with the female brain:
On the left side, there is nothing right, and on the right side, there
is nothing left.


e cavolo, certo se i tuoi utenti navigano solo su pochi siti va bene, ma
da noi l'accesso internet e' aperto a tutti i siti tranne ovviamente i
porno, ecc. ecco perche' mi serve un filtro.

 porno, ecc. ecco perche' mi serve un filtro.
Hai guardato il tool che ti ho indicato? No vero?
L'utente che vuole navigare su un sito, semplicemente la prima volta viene
bloccato, ma gli viene data la possibilità di sbloccarsi il sito
autonomamente premendo un pulsante e notificando lo sblocco all'admin.
Questo evita il carico di lavoro all'admin (ogni utente si sblocca
autonomamente il sito che gli interessa) ma nel contempo evita che gli
utenti navighino su siti porno, dato che lo sblocco viene *notificato*
all'admin stesso e che nessuno si sblocca siti porno sapendolo.
Ti assicuro che è molto più sicuro ed efficace questo approccio.


 Hai guardato il tool che ti ho indicato? No vero?
http://www.openit.it/index.php/openit_en/software_libero/danselfduty/screenshot/avviso_accessi
http://www.openit.it/index.php/openit_en/software_libero/danselfduty/screenshot/dichiarazione_di_responsabilita



Cavolo scusami tanto non ho visto il tool.
Se posso ne approfitto per una cosa.
Immagino usi dansguardian e so che e' possibile utilizzare i
cosidetti filtergroups.
Cio' pero' si deve basare su un meccanismo di autenticazione.
Io uso gia' l'autenticazione ldap con squid.
Dansguardiano pero' mi pare che non abbia meccanismi di autenticazione,
come far funzionare allora i filtergroups?


Ho valutato la cosa e:
l'admin deve leggere tutto, eventualmente controllare il sito (non tutti
hanno un nome parlante per esempio 
www.123.org
 e' un sito porno o no?) e
scoprire se il dipendente tizio.cognome è autorizzato dal dirigente a
navigare in quella categoria di siti.

 navigare in quella categoria di siti.
se ho capito bene, l'admin non fa nulla.
l'utente si abilita da sè, e l'operazione è scritta nel log file (o quel
che è)
poi se c'è qualche controllo, si sa chi ha navigato dove.
 

 poi se c'è qualche controllo, si sa chi ha navigato dove.
Beh un controllo ci deve pur essere, chiaro che uno non si abilita siti
porno ma se non c'e' nessun controllo potrebbe anche farlo.

 porno ma se non c'e' nessun controllo potrebbe anche farlo.
Puoi però farlo a campione o solo per certi utenti.
In ogni caso la situazione è decisamente più semplice e gestibile
dell'approccio a blacklist, in quanto non vi sono blacklist libere
sufficientemente complete, specie per i siti italiani, e l'unico prodotto
che ha un  DB decente è Websense, che è proprietario e molto costoso.
Inoltre qualcosa sfugge sempre.


 come far funzionare allora i filtergroups?
In realtà con poche modifiche puoi usarlo anche con squidGuard, che IMHO è
decisamente più efficiente per questo utilizzo. Se invece vuoi usare DG
allora il metodo migliore è il sandwich:
squid  ->  DG    ->  squid
auth       Filter    caching



Immaginavo, pensavo che questa configurazione servisse solo per
l'autenticazione NTLM.
Non mi piace per niente lascio stare dansguardian e vado su squidguard
anche se dansguardian mi sembrava un tantino piu' efficente e sopratutto
e' utile la sua associazione con un antivirus.
Il pacchetto per debian e' gia' patchato per l'uso con clamav.

 Il pacchetto per debian e' gia' patchato per l'uso con clamav.
Personalmente sto abbandonando del tutto DG perché invece lo trovo molto
meno efficiente per i miei usi. DG esegue un'analisi del contenuto della
pagina, e questo rallenta notevolmente le operazioni; se usi un approccio a
whitelist, l'analisi della pagina non ha utilità, quindi preferisco
squidGuard che è MOLTO più veloce quando gestisci liste di qualche megabyte.
Inoltre la funzionalità che mi faceva gola quando avevo scelto DG era
appunto l'antivirus, ma ora che c'è HAVP (che imho è meglio) posso fare la
configurazione classica squid -> havp -> Internet, senza preoccuparmi di
problemi di auth o simili e risparmiando tantissime risorse.



Ottimo havp non lo conoscevo, me lo sono installato subito, tra l'altro ho
anche trovato il deb per etch.
Mi crea un problema pero'.
Usavo l'autenticazione ldap con squid.
Ora che ho fatto squid -> havp, cioe' usato havp come parent proxy sembra
che l'autenticazione non funzioni piu'.
Mi viene continuamente presentata la maschera di autenticazione ma 
sembra che non funzioni.

 che l'autenticazione non funzioni piu'.
Strano, perché non dovrebbe influire essendo a monte del processo di auth.
Disabilitando il PP torna a funzionare?



disabilitando havp come parent cache torna a funzionare......boh....

 disabilitando havp come parent cache torna a funzionare......boh....
Io con auth basic e ntlm non ho problemi. Se puoi provare... oppure
aumentare il livello di logging...



uso anch'io auth basic:
auth_param basic program /usr/lib/squid/ldap_auth -b
dc=miodominio,dc=it -v 3 192.168.8.64 
auth_param basic children 5 
auth_param basic realm Prova
auth_param basic credentialsttl 1 hour
mi sembra di capire che il problema e' la direttiva never_direct.
Ho dato 
never_direct allow local_net HTTP
never_direct deny all
ovviamente le acl sono definite.
ho usato never_direct per forzare le richieste proveniente dai client
della rete locale di tipo HTTP a passare per il parent che sarebbe havp.
Se tolgo tale direttiva l'autenticazione funziona, con questa direttiva
invece mi viene sempre presentata la form di autenticazione e non va
avanti.