Liberação de sites

jorgevisentini
(usa CentOS)

Enviado em 22/10/2013 - 14:10h

Pessoal boa tarde!

Estou configurando um servidor proxy aqui na empresa e estou com a seguinte situação.

Ingressei o squid no AD. Já está fucionando a autenticação porque se eu liberar tudo eu consigo navegar.

O que preciso é bloquear tuudo que é site para um determinado setor e liberar apenas os que eu quiser.

O problema é que não está fucionando, mesmo eu estando no grupo do setor e dentro do arquivo dos sites estarem os sites que preciso ele não libera.

O que percebi é que quando eu habilito a linha http_access allow sitesLIBERADOS dai eu consigo acessar os sites que estão dentro do sitesTMK, mas se não liberar eu não consigo....

Está certo isso??

Segue abaixo o meu squid.conf



acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1

# CRIACAO DAS REGRAS
acl redeLOCAL src 192.168.108.0/22
#acl servidores dst 192.168.111.0/24
acl redeCYBER dst 10.153.109.0/24
acl redeRIA dst 192.168.104.0/22
acl redeMSN dst 65.0.0.0/8 # REDE MSN
acl antivirus dst 192.168.104.22

acl SSL_ports port 443
acl SSL_ports port 444
acl SSL_ports port 10000 # Webmin
acl SSL_ports port 1863 # msn
acl Safe_ports port 80 # http
#acl Safe_ports port 8080 # http
#acl Safe_ports port 37777 # Intelbras
acl Safe_ports port 444 #
acl Safe_ports port 21 # ftp
acl Safe_ports port 631 # cups
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 9876 # Autenticacao Amadeus
acl Safe_ports port 777 # multiling http
acl Safe_ports port 809 # Vale Transportes NHT/SP
acl CONNECT method CONNECT


# AUTENTICACAO

# SE O COMPUTADOR ESTIVER NO DOMINIO -- AUTENTICA AUTOMATICAMENTE
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 32

# SE O COMPUTADOR NAO ESTIVER NO DOMINIO -- PEDE SENHA
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param basic children 32
auth_param basic credentialsttl 2 hours
auth_param basic casesensitive off
auth_param basic realm Controle de Acesso a Internet - Informe seu usuário e senha

# BUSCA GRUPO NO AD
external_acl_type nt_group %LOGIN /usr/lib64/squid/wbinfo_group.pl

# ACL DOS GRUPOS NO AD


# GRUPO DE ACESSO TOTALMENTE LIBERADO (SEM RESTRICAO)
acl netLIBERADOS external nt_group poa-internet-liberados

# GRUPO DE ACESSO DA TI
acl netTI external nt_group poa-internet-ti

# GRUPO DE ACESSO DA DIRETORIA
acl netDIRETORIA external nt_group poa-internet-diretoria

# GRUPO DE ACESSO DA PENDENCIA
acl netPENDENCIA external nt_group poa-internet-pendencia

# GRUPO DE ACESSO DO TMK
acl netTMK external nt_group poa-internet-tmk

# GRUPO DE ACESSO DO DHO
acl netDHO external nt_group poa-internet-dho

# GRUPO DE ACESSO DO MKT
acl netMKT external nt_group poa-internet-mkt

# GRUPO DE ACESSO DO FINANCEIRO
acl netFINANCEIRO external nt_group poa-internet-financeiro

# GRUPO DE ACESSO DO OPERADORA
acl netOPERADORA external nt_group poa-internet-operadora

# GRUPO DE ACESSO DO COMERCIAL
acl netCOMERCIAL external nt_group poa-internet-comercial

# GRUPO DE ACESSO DO CCO
acl netCCO external nt_group poa-internet-cco

# GRUPO DE ACESSO DA EXPEDICAO
acl netEXPEDICAO external nt_group poa-internet-expedicao

# GRUPO DE ACESSO DO MOTOSERVICE
acl netMOTOSERVICE external nt_group poa-internet-motoservice

# GRUPO DE ACESSO DO TECNICO
acl netTECNICO external nt_group poa-internet-tecnico

# GRUPO DE ACESSO AO YOUTUBE
acl netYOUTUBE external nt_group poa-internet-youtube

# GRUPO DE ACESSO AS REDES SOCIAIS
acl netREDESOCIAIS external nt_group poa-internet-redesociais

# GRUPO DE ACESSO AO MSN
#acl grupoMSN external nt_group poa-internet-msn



#SITES

# MSN
acl MSNserver req_mime_type ^application/x-msn-messenger$
acl MSNpath urlpath_regex -i gateway.dll
acl MSNdominios dstdomain "/etc/squid/sites/msn.txt"


# BLOQUEADOS

acl sitesBLOQUEADOS dstdomain "/etc/squid/sites/bloqueados.txt"
acl sitesSUPERBLOQUEADOS dstdomain "/etc/squid/sites/superbloqueados.txt"
acl extensoes url_regex -i "/etc/squid/sites/extensoes.txt"

# LIBERADOS
acl sitesINTERNOS dstdomain "/etc/squid/sites/internos.txt"
acl sitesLIBERADOS dstdomain "/etc/squid/sites/liberados.txt"
acl sitesYOUTUBE dstdomain "/etc/squid/sites/youtube.txt"
acl sitesREDESOCIAIS dstdomain "/etc/squid/sites/redesociais.txt"

# LIBERADOS SETORES
acl sitesPENDENCIA dstdomain "/etc/squid/sites/pendencia.txt"
acl sitesTMK dstdomain "/etc/squid/sites/tmk.txt"
acl sitesDHO dstdomain "/etc/squid/sites/dho.txt"
acl sitesFINANCEIRO dstdomain "/etc/squid/sites/financeiro.txt"
acl sitesEXPEDICAO dstdomain "/etc/squid/sites/expedicao.txt"
acl sitesCCO dstdomain "/etc/squid/sites/cco.txt"
acl sitesOPERADORA dstdomain "/etc/squid/sites/operadora.txt"
acl sitesMKT dstdomain "/etc/squid/sites/mkt.txt"
acl sitesTECNICO dstdomain "/etc/squid/sites/tecnico.txt"
acl sitesCOMERCIAL dstdomain "/etc/squid/sites/comercial.txt"


# Nao armazena conteudo dinamico cgi-bin
#acl QUERY urlpath_regex cgi-bin ?
#no_cache deny QUERY

# Liberacoes / bloqueios
http_access allow manager localhost
http_access allow sitesINTERNOS
http_access deny manager

# Bloquia portas nao seguras
http_access deny !Safe_ports

# Bloqueia outras conexoes n seguras
http_access deny CONNECT !SSL_ports

# Bloqueia acesso para o host local
http_access deny to_localhost

# Regras
http_access deny netTMK !sitesTMK
#http_access deny netPENDENCIA !sitesPENDENCIA
#http_access allow sitesLIBERADOS
http_access allow localhost
http_access deny all

# PORTA DO SQUID
http_port 3128

hierarchy_stoplist cgi-bin ?


# 10240GB DE CACHE, 64 DIRETORIOS, 256 SUBDIRETORIOS
cache_dir ufs /var/spool/squid 10240 64 256


# Leave coredumps in the first cache dir
coredump_dir /var/spool/squid


# PERSONALIZADAO
visible_hostname proxy.dhd.com.br
cache_mgr e-mail@dhd.com.br
error_directory /usr/share/squid/errors/pt-br


###### ADICIONADOS 22-10-2013 - TUNNING
cache_mem 512 MB
half_closed_clients off
maximum_object_size 256 KB
#dns_nameserves 192.168.111.1
memory_pools off
cache_store_log none
#######################################


# Add any of your own refresh_pattern entries above these.
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320