(Ajuda) Squid com autenticação

edvan ferreira
(usa Ubuntu)

Enviado em 15/10/2014 - 00:01h

Boa Noite Pessoal,

Montei um servidorzinho em casa para mim brincar, estou usando o Debian GNU/Linux 6.0.10 (squeeze) Release: 6.0.10.

Meu objetivo era montar um proxy com autenticação, seto no navegador o IP do servidor, daí pede usuário e senha, ate aí tudo tranquilo, está funcionando uma beleza. Minha duvida é:

Como forçar o usuário a usar o proxy? Queria o seguinte, se o carinha chegar lá no browser e tirar o ip e porta a internet não funcionar ou seja forçar ele a usar o proxy.

Olha meu squid.conf como ficou:

http_port 3128
visible_hostname MATRIX

error_directory /usr/share/squid/errors/Portuguese

hierarchy_stoplist CGI-bin ?

cache_mgr edvan.tj@hotmail.com

acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY

cache_mem 64 MB
maximum_object_size_in_memory 64 KB
maximum_object_size 512 MB
minimum_object_size 0 KB
cache_swap_low 90
cache_swap_high 95
cache_dir ufs /var/spool/squid 2048 16 256
cache_access_log /var/log/squid/access.log

refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl SSL_ports port 443 563
acl Safe_ports port 21 80 443 563 70 210 280 488 59 777 901 1025-65535
acl purge method PURGE
acl CONNECT method CONNECT


http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports


acl rede_local src 192.168.0.110
acl palavras_bloqueadas url_regex -i "/etc/squid/palavras_bloqueadas.txt"
acl sites_bloqueados url_regex -i "/etc/squid/sites_bloqueados.txt"
acl teste url_regex -i "/etc/squid/redes.txt"
acl liberados src "/etc/squid/ips_liberados.txt"
acl [*****] url_regex -i "/etc/squid/sites_porno.txt"
acl formato_arquivo url_regex -i "/etc/squid/formato_arquivo.txt"

http_access deny teste
http_access deny sites_bloqueados
http_access deny palavras_bloqueadas
http_access deny [*****]
http_access deny formato_arquivo

#Autenticacao dos usuarios
auth_param basic realm Servidor_Proxy ( Digite Usuario|Senha|ligue para Edvan )
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/squid_passwd
acl autenticados proxy_auth REQUIRED

http_access allow autenticados

http_access allow rede_local
http_access allow localhost
http_access allow liberados


http_access deny all

edvan ferreira
(usa Ubuntu)

Enviado em 20/10/2014 - 12:09h

Tem que fazer pelo iptables mesmo?

yurifc4
(usa Manjaro Linux)

Enviado em 21/10/2014 - 12:09h

Faltou chamar as regras de autenticação:

## Autenticação ##
auth_param basic program /usr/lib/squid3/basic_pam_auth
auth_param basic children 5
auth_param basic realm Entre com o seu login para acessar a internet
auth_param basic credentialsttl 4 hours
auth_param basic casesensitive off

edvan ferreira
(usa Ubuntu)

Enviado em 21/10/2014 - 12:16h

Já tem sim, veja:

#Autenticacao dos usuarios
auth_param basic realm Servidor_Proxy ( Digite Usuario|Senha|ligue para Edvan )
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/squid_passwd
acl autenticados proxy_auth REQUIRED

yurifc4
(usa Manjaro Linux)

Enviado em 21/10/2014 - 12:37h

Ah sim... lá embaixo. Estranho, ele não abre uma janela do navegador solicitando usuário e senha? Usava o squid3 no Debian Wheezy e funcionava tranquilamente.

edvan ferreira
(usa Ubuntu)

Enviado em 21/10/2014 - 12:55h

Abre sim, pede usuário e senha normal, a autenticação está funcionando, minha duvida não é essa.

Queria saber o seguinte, se o cara for lá e desmarcar o proxy manual, teria como bloquear a internet?
forçando assim o uso do proxy obrigatoriamente!

yurifc4
(usa Manjaro Linux)

Enviado em 21/10/2014 - 14:25h

Entendi, como eu usava com autenticação LDAP... usuários do AD do Windows Server, no próprio WS eu bloqueava o usuário de mexer nas configurações de proxy, pq realmente, se ele desmarcar e colocar automático, ele navega normalmente em qualquer site.

Pesquise por proxy transparente squid

andr3ribeiro
(usa Arch Linux)

Enviado em 21/10/2014 - 15:20h

O Iptables Resolve!

Crie ma regra que redirecione a navegação para a porta do Squid
Suponhando que sua placa "Verde" seja eth1
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128

Você tambem pode tirar o seu IP da regra. é sempre bom ter IPs fora do squid para testes
iptables -t nat -A PREROUTING -i eth1 -p tcp --dport 80 -j REDIRECT --to-port 3128 ! -s 192.168.0.10



Com o proxy transparente vc tambem resolve. Mas tem o problema do https que nao funciona muito bem

edvan ferreira
(usa Ubuntu)

Enviado em 21/10/2014 - 15:21h

Aqui na empresa usamos o proxy transparente, minha duvida mesmo era o: "proxy com autenticação".. Mais valeu aí pela prontidão em querer ajudar.

edvan ferreira
(usa Ubuntu)

Enviado em 21/10/2014 - 15:30h

Valeu andr3ribeiro

Vou testar depois pelo iptables, era isso mesmo que estava precisando..

Outra duvida:

Dentro do squid3, como fica a configuração para redirecionar as pessoas que tentam acessar o facebook para uma pagina escolhida por mim?

andr3ribeiro
(usa Arch Linux)

Enviado em 21/10/2014 - 15:31h

Mas e o servidorzinho que vc montou em casa pra brincar deu certo?

O redirecionamento eu faço no assim, no squid.conf:

deny_info url_da_pagina acl nome_da_acl

fica assim:

# REDIRECT
deny_info http://192.168.252.1/denied.php acl bloqueado

edvan ferreira
(usa Ubuntu)

Enviado em 21/10/2014 - 15:45h

está funcionando sim. hehe

Eu queria o seguinte, quando o cara acessa-se o facebook, direcionasse para um site especifico, nem precisa ser uma pagina/imagem de bloqueio, mais sim para um site que eu escolheria.