Newsgroup: it.comp.os.linux.sys
Titolo: Proxy server

Ciao a tutti,
 
 
sto configurando un proxy server http e mi piacerebbe confrontarmi per 
qualche dritta.
 
Innanzitutto, a parte soluzioni proprietarie, secondo voi vale la pena di 
mettere su una macchina dedicata (virtuale) anziché utilizzare un modulo di 
PfSense (squid+squidguard)?
 
Io ho messo su squid3 + squidguard su una Debian 7 ma ho qualche 
perplessità: i siti HTTPS non vengono filtrati. Mi sarei aspettato che 
venissero bloccati almeno a livello di hostname (che senso ha ad es. 
bloccare 
http://www.youtube.com
 quando poi posso raggiungerlo anche via 
https://www.youtube.com
).
 
In generale come vi comportate con il traffico SSL? Non posso bloccarlo 
completamente, ma mi sembra una complicazione gestire l'HTTP da una parte 
(squidguard) e l'HTTPS da un'altra (squid, iptables).
 
3. usate altri proxy congiuntamente a squid per l'HTTP? Che so: SOCKS, 
IMAP...?
 
 
Questa è la mia prima configurazione di squidguard: ho sbagliato qualcosa?
 
[...]
dest warez {
        domainlist      warez/domains
        log             warez.log
        urllist         warez/urls
}
dest white {
        domainlist      white/domains
        log             white.log
        urllist         white/urls
}
 
acl {
        workers within workhours {
                pass    white !adults !danger !drogues !gambling !guns 
!hacking !lingerie !malware !phishing !sexual_education !shopping 
!social_networks !video !warez !in-addr all
                redirect        
http://127.0.0.1/cgi-bin/squidGuard.cgi?clientaddr=%a&clientname=%n&clientident=%i&srcclass=%s&targetclass=%t&url=%u
 
        } else {
                pass    white !in-addr !adults all
                redirect        
http://127.0.0.1/cgi-bin/squidGuard.cgi?clientaddr=%a&clientname=%n&clientident=%i&srcclass=%s&targetclass=%t&url=%u
 
        }
        default {
                log     acl_default.log
                pass    none
                redirect        
http://127.0.0.1/cgi-bin/squidGuard.cgi?clientaddr=%a&clientname=%n&clientident=%i&srcclass=%s&targetclass=%t&url=%u
 
        }
}
 
 
Ciao,
  Void

 perplessità: i siti HTTPS non vengono filtrati. Mi sarei aspettato che
 
E/C: vengono filtrati, ma non rediretti.
 
 
Void

 perplessitï¿œ: i siti HTTPS non vengono filtrati.
 
...credo dipenda da come sono scritte le regole di squidguard, perchï¿œ se ï¿œ
ovvio che non riesci a fare filtro sui contenuti con SSL, sicuramente come
filtri con regex sugli url http:, cosï¿œ lo fai sui https: .
 
Sempre, come dicevo, che le regole siano scritte bene...
 
-- 
  L'entropia dei soldi aumenta sempre.
							(prof. Taffara)

 ...credo dipenda da come sono scritte le regole di squidguard, perchè se è
 
Sì, mi sono corretto in un messaggio successivo: i siti vengono filtrati 
correttamente, ma anziché essere rediretto alla pagina predefinita ottengo 
questo errore:
 
La pagina web non è disponibile
Codice di errore: ERR_TUNNEL_CONNECTION_FAILED
 
 
Ciao e grazie,
  Void

 E/C: vengono filtrati, ma non rediretti.
 
Ah. Non ï¿œ che la questione ï¿œ ''browser-based''? Firefox, ad esempio, blocca
tutte le connessioni HTTP all'interno di sessioni HTTPS.
 
-- 
  Oggi ï¿œ difficile essere di sinistra senza essere di destra.
  							(Beppe Grillo)

 blocca tutte le connessioni HTTP all'interno di sessioni HTTPS.
 
Il problema è che SquidGuard mi blocca correttamente alcuni domini come ho 
impostato, ma mentre se sono su HTTP vengo rediretto ad una pagina di 
warning che ho definito, nel caso di HTTPS ottengo solo un errore:
 
Chrome: Codice di errore: ERR_TUNNEL_CONNECTION_FAILED
 
Firefox: Firefox non riesce a contattare il server 
www.youtube.com
.
 
ie: This page can?t be displayed
 
 
Ho trovato questo sull'argomento:
http://squid-web-proxy-cache.1019090.n4.nabble.com/Squidguard-redirect-and-https-td4662707.html
 
 
E questa come soluzione:
http://wiki.squid-cache.org/Features/SslBump
 
 
 
Voi come fate di solito?
 
 
Altra cosa: cosa utilizzate per analizzare i log di Squid? In particolare mi 
interesserebbe tenere sotto controllo gli accessi ai siti non bloccati per 
verificare che non ce ne siano alcuni che impegnano troppa banda. Calamaris?
 
 
Ciao,
  Void

 IMAP...?
 
Ecco, secondo me il tuo pensiero si racchiude in questo passaggio e 
dovresti prima chiderti: "mi serve qualche tipo di proxy?"
 
 


Oddio, un fantasma...

 verificare che non ce ne siano alcuni che impegnano troppa banda. Calamaris?
 
Calamaris; ma il problema sono le connessioni HTTPS, anche qui, specie
quelle in ''keepalive'', che squid3 ''salva'' nei log alla chiusura, e che
quindi vengono contabilizzate alla limbello di segugio.
 
Non so se c'ï¿œ modo di ''fare meglio'', o se ï¿œ un problema risolto dalle
nuove versoni di squid.
 
ma quando stavo litigando con windows update di win7, ero arrivato ad avere
efficienze che crollavano dal 30% al 10%, e calamaris che contabilizzava
meno della metï¿œ della banda consumata... ;-(((
 
-- 
  Dio del cielo se mi vorrai
  in mezzo agli altri uomini mi cercherai		(F. De Andre`)


 
Ci sono, molto poco ma ci sono!


A me in effetti serviva solo un proxy HTTP con filtro e qualche strumento di 
verifica dell'utilizzo e questo adesso è in piedi e funziona.
 
Non ho trovato una soluzione pratica per mostrare di fronte ad una pagina 
HTTPS bloccata da SquidGuard la stessa pagina reindirizzata che mostro per 
le pagine HTTP bloccate (vedi messaggio a Franco Gaiarin del 14/08).
 
Non ho trovato uno strumento tipo "top" per Squid, che mi mostri in tempo 
reale l'utilizzo (siti, banda, utenti) del proxy negli ultimi X minuti.
 
Comunque mi chiedevo: posso migliorare l'interfaccia verso internet della 
nostra LAN, chissà cos'altro utilizza chi è più esperto di me? ;-)
 
 
Ciao e buona giornata,
  Void

 nostra LAN, chiss� cos'altro utilizza chi � pi� esperto di me? ;-)
 
Io alla fine sono passato ad un prodotto commerciale: mi f� da antivirus, 
controllo degli accessi, si appoggia al dominio AD (perci� SSO per gli utenti) 
ed esegue l'aggiornamento automatico delle blacklist. Decidi che cosa f� un 
determinato gruppo di utenti e ti basta solo aggiungere gli utenti a quel gruppo 
di AD ed hai finito. A me ha cambiato la vita.
(il motore sotto � BSD per� hardenizzato pesantemente dal vendor che, con gli 
strumenti che tutti pi� o meno conosciamo, ha fatto un buon lavoro. Ho altri 
prodotti dello stesso vendor e ho visto che lavora molto in perl, ma a parte 
l'implementazione di base il mantenimento delle blacklist e il controllo 
antivirus durante la navigazione � impagabile)
 
L'unica nota dolente � che non gestisce la banda perci�, personalmente, ho 
ritenuto necessario anteporgli uno squid con i delay-pool per evitare che si 
saturi la banda con la sola navigazione.
 
Rizio
 
--- news://
freenews.netfront.net/
 - complaints: 
ne...@netfront.net
 ---

 Altrimenti, a posteriori, c'è sarg ma non è in tempo reale.
 
Sì, già installato, grazie; ho provato a mettere in crontab:
 
00/5 09-18 * * * root /usr/sbin/sarg-reports today
 
pensando che mi avrebbe aggiornato la pagina ogni cinque minuti tra le 9 e 
le 18, ma evidentemente mi sfugge qualcosa perché non cambia nulla... Ho 
trovato anche questo:
 
 
http://www.safesquid.com/html/viewtopic.php?t=2398
 
 
e questo (che al momento sembra non funzionare):
 
 
http://samm.kiev.ua/sqstat/
 
 
 
Un'altra cosa che mi manca è ricavare l'elenco dei siti "grey", ovvero quei 
siti che non sono né in blacklist, né in whitelist, in modo da aggiungere 
poi ad una o all'altra lista tutti i siti non contemplati.
 
 
Ciao e grazie,
  Void

    Void
 
Figurati, stiamo facendo solo chiacchiere e purtroppo non riesco ad aiutarti 
praticamente.
 
Ciao


>    
http://samm.kiev.ua/sqstat/
 
 
Cavolata anche qui:
 
1. commentato "http_access deny manager" in squid.conf
2. messo l'IP corretto al posto di 127.0.0.1 in config.inc.php
 
Questo in effetti dovrebbe essere quello che cercavo! :-)
 
 
Ciao,
  Void

 Questo in effetti dovrebbe essere quello che cercavo! :-)
 
Perfetto.


 antivirus, controllo degli accessi, si appoggia al dominio AD (perci�
 
potresti dirmi il nome del prodotto?
 
-- 
Vincenzo

 potresti dirmi il nome del prodotto?
 
Certo, se la mail ï¿½ valida ti spedisco il link su quell'indirizzo


 Certo, se la mail ï¿½ valida ti spedisco il link su quell'indirizzo
 
grazie
-- 
Vincenzo
 

 Altra cosa: cosa utilizzate per analizzare i log di Squid?
 
Oltre a calamaris, userei LightSquid. inoltre vedrei se munin, zabbix o 
cacti hanno dei template ad hoc per analizzare il traffico di squid
 
Enrico

 Questo in effetti dovrebbe essere quello che cercavo! :-)
 
Ma vi funziona? datato 2006, non mi pare che riesca a leggere piï¿œ nulla,
perlomeno dal mio squid 3.0...
 
-- 
  Quante persone e quanti cuori, quanti colori
  al posto di quel grigio quante novita`
  c'e` un'altro tipo di futuro che aspetta, Capata`z	(F. De Gregori)

 Ma vi funziona? datato 2006, non mi pare che riesca a leggere più nulla,
 
A me funziona con Squid 3.1.
 
 
Ciao,
  Void
 
 

 cacti hanno dei template ad hoc per analizzare il traffico di squid
 
Giusto, ora che ho installato OMD devo vedere se c'è qualcosa per squid.
 
 
Ciao,
  Void

 A me funziona con Squid 3.1.
 
Ahem, hai ragione, non avevo provato con il 3.1, pensando che
se non andava con il 3.0 non sarebbe andato neanche con quelli piï¿œ su.
 
Boh. Funziona con 3.1. ;-)
 
 
Grazie.
 
-- 
  Ci sono 3 professori di statistica che vanno a caccia di lepri.
  ad un tratto ne vedono una. il primo spara... un metro a destra.
  il secondo spara... un metro a sinistra.
  il terzo esclama: "l'abbiamo presa". 			(Gino)