Newsgroup: it.comp.os.linux.sys
Titolo: Squid - [Help]

Ciao a tutti.
Non sono un amministratore come voi, ma sto imparando un pò alla volta.
Volevo chiedervi se potete darmi una mano a capire, ho da poco installato
squid2 su un PC che ovviamente, deve fuznionare come proxy, la distro
utilizzata è una debian sarge con 2 schede di rete la eth0 (pubblica) e la
eth1 (local-interna)
Ho creato le ACL policy restrittive con IP ed autenticazione...
Devo dire che come inizio e molte letture dei MAN e FAQ sono riuscito con
soddisfazione.
Però... faccio un bel netstat -nap per verificare le porte in ascolto e si
verifica:
tcp        0      0 
192.168.1.1:80
          0.0.0.0:*               LISTEN
5068/(squid)
tcp        0      0 
127.0.0.1:2142
 
127.0.0.1:2141
ESTABLISHED5068/(squid)
tcp        0      0 
127.0.0.1:2141
 
127.0.0.1:2142
ESTABLISHED5070/(ncsa_auth)
tcp        0      0 
127.0.0.1:2144
 
127.0.0.1:2143
ESTABLISHED5068/(squid)
tcp        0      0 
127.0.0.1:2143
 
127.0.0.1:2144
ESTABLISHED5071/(ncsa_auth)
tcp        0      0 
127.0.0.1:2146
 
127.0.0.1:2145
ESTABLISHED5068/(squid)
tcp        0      0 
127.0.0.1:2145
 
127.0.0.1:2146
ESTABLISHED5072/(ncsa_auth)
tcp        0      0 
127.0.0.1:2148
 
127.0.0.1:2147
ESTABLISHED5068/(squid)
tcp        0      0 
127.0.0.1:2147
 
127.0.0.1:2148
ESTABLISHED5073/(ncsa_auth)
tcp        0      0 
127.0.0.1:2150
 
127.0.0.1:2149
ESTABLISHED5068/(squid)
tcp        0      0 
127.0.0.1:2149
 
127.0.0.1:2150
ESTABLISHED5074/(ncsa_auth)
udp        0      0 
0.0.0.0:1035
            0.0.0.0:*
5068/(squid)
udp        0      0 
0.0.0.0:3130
            0.0.0.0:*
5068/(squid)
Okay, la porta 3130 in ascolto sul protocollo UDP l'ho disabilitata nel file
di config con il comando:
/etc/squid/squid.conf
icp_port 0
Ma la porta 1035 invece è in ascolto sia su eth0 che eth1...
Facendo un rapido controllo, non esiste nulla che menziona la porta 1035 nei
manuali di squid, o almeno sembra, inoltre su google la porta 1035 è una
porta usata spesso per Trojan  :-(
La porta poi, cambia varie volte in 1024, 1025 1026...sempre UDP.
E' il servizio di richiesta DNS... a quanto pare.
Ho provato a modificare i parametri del comando:
/etc/squid/squid.conf
udp_incoming_address 0.0.0.0 (DEFAULT)
variandolo in :
udp_incoming_address 192.168.1.1
udp_incoming_address 127.0.0.1
Ovviamente l'ascolto si restringe o su eth1 oppure su localhost, ma in
questo modo
il proxy non funziona  e i clients non navigano assolutamente...
In pratica si riesce a navigare solo con la porta 1035 (o altre)  aperta in
UDP da squid su entrambe le interfacce...
Chiedo a voi tutti cosa ne pensate, non mi piace lasciare una porta in UDP
in ascolto sulla interfaccia pubblica...
Lurkando in google, non ho trovato granchè..anzi poco e niente... e non
conosco nessuno che abbia implementato squid.
Mi per favore date una mano a capire se tale impostazione è normale o ho
fatto qualcosa di sbagliato?
Grazie in anticipo.

xer wrote:

Socket in ascolto per l'utilizzo del ncsa_auth ?

 ha scritto nel messaggio
news:4213...@x-privat.org
_MAI_ sentito parlare di quoting? mah..
-- 
Stefano Zamboni - 
zam...@freemail.it
Legge di Ruckert:
Non c'è problema tanto piccolo che non possa essere ingigantito


Mamma mia ... per una volta che si sbaglia !!

 Mamma mia ... per una volta che si sbaglia !!
quindi devo considerare corretto anche il tuo quoting nella tua risposta nel
3ad "Guru del sysadmin a raccolta!", vero?
visto che prima sembravo scorbutico, te lo chiedo per favore: puoi quotare
in modo appropriato? grazie..
Saluti
-- 
Stefano Zamboni - 
zam...@freemail.it
Seconda legge di Scott:
Quando si trova e si corregge un errore, si vedrà che andava meglio prima.


Scusa andavo di fretta... può succedere di sbagliare a volte , o a te 
non capita mai ?

 Socket in ascolto per l'utilizzo del ncsa_auth ?
Ma.. non credo, mentre il proxy è in funzione non vedo alcuna attività su
quella particolare porta protocollo...
A parte il quoting, non c'è davvero nessuno che conosce bene Squid?
Grazie ancora in anticipo.

 non capita mai ?
Capita, ma bisogna anche considerare che se si va di fretta si puo'
dare spallate alle persone che circolano sulla via... le proprie
esigenze, presunte o vere che siano, non devono danneggiare gli altri,
volontariamente o involontariamente.
bye G.L.
-- 
« E' assolutamente evidente che l'arte del cinema
  si ispira alla vita, mentre la vita si ispira alla TV »
(Woody Allen)

 ESTABLISHED5070/(ncsa_auth)
                    ^^^^^^^^^


 bye G.L.
Ma no... certo che quello è il NCSA c'è anche scritto....
scusa, intendo il protocollo UDP...è la penultima riga, spero tu possa 
aiutarmi, riporto subito:
-*-*-*
udp        0      0 
0.0.0.0:1035
            0.0.0.0:*
5068/(squid)
-*-*-*
Non riesco a capire... la porta in ascolto UDP 3130 è disabilitata dal 
comando:
icp_port 0
Ma questa maledetta 1035? che adesso è 1024...e cambia in 1025 o 1026...
GianLuca giusto?
che cavolo esegue questa porta 1035 sull'UDP? Secondo me esegue query 
DNS, ma l'ho monitorata per benino.. e non vedo attività!
Riesci a chiarirmi il dubbio?
Scusa ma sto imparando solo da qualche giorno ad usare squid.
Grazi in anticipo.

                     ^^^^^^^^^
Ciao
Il 5050 č il PID di rifermento, non veorrei sbagliare ma mi sembra cosě.
Ancora una domanda, ho disabilitato l'autenticazione e comunque mi viene
sempre attivato un processo sulla porta 1035 ed č lo squid ad attivarlo ma
non capisco a cosa serve...
DNS o resolver di certo....
Mah...
grazie comunque

 non capisco a cosa serve...
e` il dns resolver interno, la tiene aperta per accettare le risposte
dei lookup, basta dare un'occhiata a cache.log, ne vedi la creazione,
l'alternativa e` che per ogni lookup ne apra e chiuda una
che squid hai?

 che squid hai?
Ciao Frik, grazie per avermi risposto.
E' Squid 2.5.7-8, riporto il cache.log
Starting Squid Cache version 2.5.STABLE7 for i386-debian-l$
Process ID 3425
With 1024 file descriptors available
DNS Socket created at 0.0.0.0, port 1024, FD 5
eccolo ^^^^^^^ come dicevi crea un DNS socket
Adding nameserver xxx.xxx.xxx.xxx from /etc/resolv.conf
e quě aggiunge i DNS del provider prelevandolo da /etc/resolv.conf
User-Agent logging is disabled.
Referer logging is disabled.
Unlinkd pipe opened on FD 10
^^^^^^  questo quě mi preoccupa invece
Swap maxSize 102400 KB, estimated 7876 objects
Target number of buckets: 393
Using 8192 Store buckets
Max Mem  size: 8192 KB
Max Swap size: 102400 KB
Local cache digest enabled; rebuild/rewrite every 3600/360$
Rebuilding storage in /var/spool/squid (CLEAN)
Using Least Load store dir selection
Set Current Directory to /var/spool/squid
Loaded Icons.
tralasciamo il log.
Come ti dicevo, la tua supposizione era esatta, attinge al DNS, ma a questo
punto, dato che il DNS serve per funzionare, deve per forza mettersi in
ascolto in UDP e su entrambe le interfacce? Non mi da problemi di sicurezza
averlo aperto sulla pubblica?
Insomma, io squid lo sto plaplando da pochissimo, ma non mi sono chiari
questi concetti di funzionamento.
Tu che ne pensi?
Mi puoi aiutare?

 averlo aperto sulla pubblica?
il dns interno attuale è abbastanza giovane, afaik non si
può disabilitare a runtime e server ricompilare squid, ma
ha vantaggi prestazionali; puoi comunque farlo puntare ad
un dns cache server interno alla rete (o localhost) e con
udp_incoming_address avere la porta aperta solo su quello

 udp_incoming_address avere la porta aperta solo su quello
Ciao, grazie per essere stato esauriente...
Siccome non ho voglia di implementare un DNS interno, cosa ne pensi se 
lo lascio così?
Dato che questa macchhina funzionerà SOLO da proxy, non avraà altre 
porte aperte se non la sola UDP generata da Squid, andrebbe bene? Mi 
posso fidare? oppure passo ad altro proxy?
Grazie ancora

 posso fidare? oppure passo ad altro proxy?
l'ultimo advisory che ricordo su problemi seri del
dns resolver interno di squid e` di due anni fa, e
credo fosse ancora quello vecchio

 credo fosse ancora quello vecchio
Allora per iniziare, lo farò partire così, però come dicevo, farò una
ricerca anche su cache server.
Grazie

 conoscere a fondo anche questo aspetto.. :-)
se parli di server dns puramente cache, con apt-get install djbdns te
ne installi uno al volo (e` di quel mezzo pazzo di bernstein, info le
trovi sul suo sito 
http://cr.yp.to
), non lo conosco e ho dovuto usare
google anche solo per scrivertelo bene =)

 google anche solo per scrivertelo bene =)
grazie
Molto interessante