Правила в Squid

Eugene · May 15, 2012, 12:55 PM

Заранее извиняюсь, если уже спрашивали.
Никогда сам не работал со Squid, но приятелю срочно понадобилось. Вороде всё шуршит, но такая странная штука с правилами. Если он в Blacklist ставит www.bbc.co.uk, то весь домен блокируется без проблем. А вот когда он хочет запретить только плэйер www.bbc.co.uk/iplayer, то правило "не срабатывает" и player нормально открывается.
В чём подвох?

rubic · May 15, 2012, 1:13 PM

Привет. Точно не скажу, но как вариант www.bbc.co.uk/iplayer не разрешается в IP в отличие от www.bbc.co.uk
Если пытаетесь блокировать через Proxy server: Access control -> Blacklist, то там четко написано: Enter each destination domain on a new line…

Eugene · May 15, 2012, 1:35 PM

Привет. Домен в обоих случаях один. iplayer часть не учавствует в name resolution и я не думаю, что в блокировке учавствует IP здесь. Насколько я понимаю, тут Squid должен работать на уровне HTTP запросов, парся адресную строку…

Rezor666 · May 15, 2012, 1:41 PM

@Evgeny:

Привет. Домен в обоих случаях один. iplayer часть не учавствует в name resolution и я не думаю, что в блокировке учавствует IP здесь. Насколько я понимаю, тут Squid должен работать на уровне HTTP запросов, парся адресную строку…

а может просто поставить правило |player|radio| ?

Eugene · May 15, 2012, 1:43 PM

@Rezor666:

@Evgeny:

Привет. Домен в обоих случаях один. iplayer часть не учавствует в name resolution и я не думаю, что в блокировке учавствует IP здесь. Насколько я понимаю, тут Squid должен работать на уровне HTTP запросов, парся адресную строку…

а может просто поставить правило |player|radio| ?

А как это интерпретировать? я ему уже посоветовал поставить iplayer и попробовать, жду результатов.

rubic · May 15, 2012, 2:32 PM

acl blacklist dstdom_regex -i "/var/squid/acl/blacklist.acl"

вот сюда попадает у вас www.bbc.co.uk/iplayer, специально посмотрел конфиг squid после добавления www.bbc.co.uk/iplayer в Blacklist

смотрим доку http://www.squid-cache.org/Doc/config/acl/

acl aclname dstdom_regex [-i] .foo.com …
# regex matching server [fast]
#
# For dstdomain and dstdom_regex a reverse lookup is tried if a IP
# based URL is used and no match is found. The name "none" is used
# if the reverse lookup fails.

UPD: IP действительно не причем, но сути не меняет. Этот acl годится только для блокировки доменов, а вам нужно блокировать URL, т.е. использовать url_regex, который из GUI не настраивается

Eugene · May 15, 2012, 3:35 PM

@rubic:

UPD: IP действительно не причем, но сути не меняет. Этот acl годится только для блокировки доменов, а вам нужно блокировать URL, т.е. использовать url_regex, который из GUI не настраивается

о… это уже ближе к истине, можно как-то настроить не из гуя? но только чтобы потом не сбрасывалось если что-нибудь модифицируешь в гуе...

rubic · May 16, 2012, 12:30 AM

Можно и через гуй, но надо поставить SquidGuard. В нем есть Target categories -> URL list.
Если только Squid, то в /var/squid/acl/ сделать файл с запрещенными URL, скажем, "blackurl.acl", а в Squid'е в Custom options написать acl blackurl url_regex -i "/var/squid/acl/blackurl.acl";http_access deny blackurl

Eugene · May 16, 2012, 2:40 AM

спасибо, буду пробовать

dr.gopher · May 16, 2012, 8:35 AM

@Evgeny:

спасибо, буду пробовать

Пошаговая инструкция по настройке SquidGuard
http://thin.kiev.ua/router-os/50-pfsense/530-pfsense-squid.html

Eugene · May 16, 2012, 1:15 PM

Спасибо, попробую помочь моему товарисчу. Проблема в том, что у меня живого pfSense давно уже нет под рукой, а этот человек по-русски не понимает -)

werter · May 18, 2012, 6:45 AM

@Evgeny:

Спасибо, попробую помочь моему товарисчу. Проблема в том, что у меня живого pfSense давно уже нет под рукой, а этот человек по-русски не понимает -)

Так пусть удаленно даст Вам доступ . Какие проблемы ? Ammyy Admin , TeamViewer и т.д. никто не отменял. Или сразу правило пускай рисует для доступа в веб-морду пф, если у него "белая" статика или динамика.
Или пускай впн-сервер поднимет на самом пф. Вариантов - тьма! Зайдете удаленно и сами все сделаете.