Problema de redirecionamento

diegojr554
(usa CentOS)

Enviado em 29/12/2014 - 12:10h

Bom dia,

Na empresa onde trabalho tenho um squid + squidGuard + autenticação AD, o meu problema é que o squid começou a fazer o redirecionamento errado do endereço que meu antivirus usa para fazer as atualizações, no log do squid antes ele redirecionava para o ip do servidor de atualização, por ex:

1419843032.089 385 192.168.25.243 TCP_MISS/200 427 POST http://vs.mcafeeasap.com/MC/VS60/CheckConnection.asp - DIRECT/161.69.25.233 text/html

Agora está redirencionando para o ip do próprio seridor:

1419856175.013 16 192.168.25.231 TCP_MISS/200 1386 POST http://vs.mcafeeasap.com/MC/VS60/CheckConnection.asp - DIRECT/192.168.25.6 text/html

Já chequei o DNS com nslookup, limpei o cache do squid, do DNS e está tudo direcionando para o ip correto.
Segue o arquivo de configuração do meu squid:

http_port 3128
maximum_object_size 4096 KB
minimum_object_size 0 KB
maximum_object_size_in_memory 64 KB
cache_mem 100 MB
pipeline_prefetch on
fqdncache_size 1024

refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern -i (/cgi-bin/|\?) 0 0% 0
refresh_pattern . 0 20% 4320

cache_swap_low 90
cache_swap_high 95

access_log /var/log/squid/access.log squid
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
cache_dir ufs /var/spool/squid 100 16 256

logfile_rotate 10
hosts_file /etc/hosts

acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT

acl localhost src 127.0.0.1/32

# Liberar acesso anti-vírus antes da autenticação
acl antivirus dstdomain .mcafeeasap.com

http_access allow antivirus
http_access allow localhost
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports

auth_param basic program /usr/lib64/squid/squid_ldap_auth -R -b "DC=xxxx,DC=xx,DC=xxx" -D "CN=xxxx,CN=xxxx,DC=xxxx,DC=xxxx,DC=xxx" -w "xxxxxxx" -f sAMAccountName=%s -h 192.168.25.2
auth_param basic children 5
auth_param basic realm Internet, Identifique-se:
auth_param basic credentialsttl 2 hours

acl autenticados proxy_auth REQUIRED

redirect_program /usr/bin/squidGuard -c /etc/squid/squidGuard.conf
redirect_children 10

http_access allow autenticados
http_access deny all
http_reply_access allow all
icp_access allow all
miss_access allow all

visible_hostname xxxxxxxxxxxxxxx
error_directory /usr/share/squid/errors/pt-br

cache_effective_user squid
coredump_dir /var/spool/squid

buckminster
(usa Debian)

Enviado em 29/12/2014 - 16:49h

Tu fizestes alguma mudança recente no squid.conf, no squidguard.conf ou no Iptables (se tiver) antes desse problema acontecer?

diegojr554
(usa CentOS)

Enviado em 29/12/2014 - 17:09h

então, eu não fiz nenhuma alteração, estava funcionando tudo normalmente, a única suspeita que eu tenho é que o servidor tenha sido invadido (recentemente um computador windows foi infectado por um trojan), mas não posso confirmar isso no momento. Quanto ao meu firewall, ele está desabilitado:

# iptables -S
-P INPUT ACCEPT
-P FORWARD ACCEPT
-P OUTPUT ACCEPT

Rotas:
# route -e
Tabela de Roteamento IP do Kernel
Destino Roteador MáscaraGen. Opções MSS Janela irtt Iface
192.168.25.0 * 255.255.255.0 U 0 0 0 eth0
link-local * 255.255.0.0 U 0 0 0 eth0
default 192.168.25.1 0.0.0.0 UG 0 0 0 eth0

DNS:
# nslookup mcafeeasap.com
Server: 192.168.25.2
Address: 192.168.25.2#53

Non-authoritative answer:
Name: mcafeeasap.com
Address: 161.69.25.234

Portas abertas:
# netstat -lnptu
Conexões Internet Ativas (sem os servidores)
Proto Recv-Q Send-Q Local Address Foreign Address State PID/Program name
tcp 0 0 0.0.0.0:22 0.0.0.0:* OUÇA 1728/sshd
tcp 0 0 127.0.0.1:631 0.0.0.0:* OUÇA 1585/cupsd
tcp 0 0 0.0.0.0:3128 0.0.0.0:* OUÇA 2114/(squid)
tcp 0 0 127.0.0.1:25 0.0.0.0:* OUÇA 2024/master
tcp 0 0 0.0.0.0:445 0.0.0.0:* OUÇA 2169/smbd
tcp 0 0 0.0.0.0:43712 0.0.0.0:* OUÇA 1540/rpc.statd
tcp 0 0 0.0.0.0:3306 0.0.0.0:* OUÇA 1886/mysqld
tcp 0 0 0.0.0.0:139 0.0.0.0:* OUÇA 2169/smbd
tcp 0 0 0.0.0.0:111 0.0.0.0:* OUÇA 1501/rpcbind
tcp 0 0 0.0.0.0:80 0.0.0.0:* OUÇA 2070/httpd
udp 0 0 0.0.0.0:824 0.0.0.0:* 1501/rpcbind
udp 0 0 0.0.0.0:56022 0.0.0.0:* 1540/rpc.statd
udp 0 0 127.0.0.1:868 0.0.0.0:* 1540/rpc.statd
udp 0 0 0.0.0.0:111 0.0.0.0:* 1501/rpcbind
udp 0 0 0.0.0.0:631 0.0.0.0:* 1585/cupsd
udp 0 0 192.168.25.6:123 0.0.0.0:* 1739/ntpd
udp 0 0 127.0.0.1:123 0.0.0.0:* 1739/ntpd
udp 0 0 0.0.0.0:123 0.0.0.0:* 1739/ntpd
udp 0 0 0.0.0.0:48386 0.0.0.0:* 2114/(squid)
udp 0 0 192.168.25.255:137 0.0.0.0:* 2159/nmbd
udp 0 0 192.168.25.6:137 0.0.0.0:* 2159/nmbd
udp 0 0 0.0.0.0:137 0.0.0.0:* 2159/nmbd
udp 0 0 192.168.25.255:138 0.0.0.0:* 2159/nmbd
udp 0 0 192.168.25.6:138 0.0.0.0:* 2159/nmbd
udp 0 0 0.0.0.0:138 0.0.0.0:* 2159/nmbd