Revisão do arquivo squid.conf [RESOLVIDO]

jonathacardoso
(usa Debian)

Enviado em 10/06/2014 - 10:37h

Pessoal!

Estou trabalhando em um servidor novo de proxy e rede, e ao mesmo tempo, melhorando nosso Squid. Atualmente, estou implementando em um servidor VMWare, onde o servidor virtual possui 2 GB de memória, disco de 50 GB (sendo 10 exclusivos para a raiz), processador Intel Core i3. O servidor definitivo, também com VMWare, possuirá 4 GB de memória, a mesma configuração de disco, e processador Intel Xeon.

Por isto, queria pedir a ajuda de vocês para confirmar se minhas regras e configurações do squid.conf estão corretas e vão funcionar corretamente. Fiz alguns testes e está funcionando, mas noto que ao fazer um force-reload, ele demora pra voltar a internet, de 1 a 2 minutos, sendo que em outro servidor, tal ação é quase instantânea.

Abaixo:

########################################################################

#

# AUTENTICACAO

#

########################################################################



# Define o metodo de autenticacao do squid atraves da autenticacao do samba

auth_param basic program /usr/lib/squid/smb_auth -W IPA_NT_PDC -U 10.1.100.5 -d

# Numero maximo de autenticacoes simultaneas

auth_param basic children 10

# Mensagem exibida na janela exibida ao usuario para informar a senha

auth_param basic realm Digite o seu usuario e a sua senha para acessar a Internet

# Define a sessao de acesso a Internet com duracao maxima de 12 horas, solicitando novo login quando terminado o tempo

auth_param basic credentialsttl 1 hours

# O login diferencia maiusculas de minusculas

auth_param basic casesensitive off

# Nao permite que seja feito o login com senha em branco

auth_param basic blankpassword off



########################################################################

#

# DEFINICAO DA LISTA DE CONTROLE DE ACESSO (ACLs)

#

########################################################################



# Regras basicas do Squid e da rede, definindo range de IP e rede interna



acl all                         src        0.0.0.0/0.0.0.0



acl Conexao                     method     CONNECT

acl Purge                       method     PURGE

acl Cache                       proto      cache_object



#acl LocalhostSRC               src        127.0.0.1/32

acl LocalhostSRC                src        127.0.0.1/255.255.255.255/10.1.100.0

acl LocalhostDST                dst        127.0.0.0/8



#acl RedeInterna                 src        "/etc/squid/rules/RedeInterna"

acl RedeInterna                 src        10.1.100.0/255.255.255.0



# Regra que define a obrigatoriedade de senha



acl Senha                       proxy_auth REQUIRED



# Regras que definem bloqueios/liberacoes de enderecos de IP locais para acesso e conexao



acl LiberacaoIPsLocais          src        "/etc/squid/rules/LiberacaoIPsLocais"

acl BloqueioIPsLocais           src        "/etc/squid/rules/BloqueioIPsLocais"



# Regras que definem bloqueios/liberacoes de enderecos de IP externos para acesso e conexao



acl LiberacaoIPsDST             dst        "/etc/squid/rules/LiberacaoIPsRemotos"

acl BloqueioIPsDST              dst        "/etc/squid/rules/BloqueioIPsRemotos"



acl LiberacaoIPsSRC             src        "/etc/squid/rules/LiberacaoIPsRemotos"

acl BloqueioIPsSRC              src        "/etc/squid/rules/BloqueioIPsRemotos"



# Regras que definem bloqueios/liberacoes de enderecos MAC



acl LiberacaoMACs               arp        "/etc/squid/rules/LiberacaoMACs"

acl BloqueioMACs                arp        "/etc/squid/rules/BloqueioMACs"



# Regras que definem bloqueios/liberacoes de palavras pesquisadas na internet e/ou dominios/enderecos acessados



acl LiberacaoEnderecos          dstdomain  "/etc/squid/rules/LiberacaoEnderecos"



acl BloqueioPalavrasVirus       url_regex  -i "/etc/squid/rules/BloqueioPalavrasVirus"

acl BloqueioPalavrasSexo        url_regex -i "/etc/squid/rules/BloqueioPalavrasSexo"

acl BloqueioPalavrasDownloads   url_regex  -i "/etc/squid/rules/BloqueioPalavrasDownloads"



acl BloqueioEnderecosVirus      dstdomain  "/etc/squid/rules/BloqueioEnderecosVirus"

acl BloqueioEnderecosSexo       dstdom_regex -i "/etc/squid/rules/BloqueioEnderecosSexo"

acl BloqueioEnderecosProxies    dstdomain  "/etc/squid/rules/BloqueioEnderecosProxies"

acl BloqueioEnderecosDownloads  dstdomain  "/etc/squid/rules/BloqueioEnderecosDownloads"

acl BloqueioEnderecosJogos      dstdom_regex -i "/etc/squid/rules/BloqueioEnderecosJogos"

acl BloqueioEnderecosSocial     dstdomain  "/etc/squid/rules/BloqueioEnderecosSocial"

acl BloqueioEnderecosPlugins    dstdomain  "/etc/squid/rules/BloqueioEnderecosPlugins"

acl BloqueioEnderecosOutros     dstdomain  "/etc/squid/rules/BloqueioEnderecosOutros"



# Regras que definem bloqueios/liberacoes de usuarios



acl LiberacaoUsuariosComAcesso  proxy_auth "/etc/squid/rules/LiberacaoUsuariosComAcesso"

acl LiberacaoUsuariosSemAcesso  proxy_auth "/etc/squid/rules/LiberacaoUsuariosSemAcesso"

acl BloqueioUsuarios            proxy_auth "/etc/squid/rules/BloqueioUsuarios"



########################################################################

#

# DEFINICAO DA LISTA DE PORTAS HABILITADAS

#

########################################################################



# Portas padroes

acl PortasSSL port 25 53 110 443 563 3456 3128

acl PortasSSL port 563          # snews

acl PortasSSL port 873          # rsync



# Portas padroes

acl PortasSafe port 80          # HTTP

acl PortasSafe port 81          # HTTP

acl PortasSafe port 280         # HTTP-MGNT

acl PortasSafe port 443         # HTTPS

acl PortasSafe port 123         # NTP

acl PortasSafe port 20 21       # FTP

acl PortasSafe port 110         # POP3

acl PortasSafe port 70          # Gopher

acl PortasSafe port 6050        # Gopher

acl PortasSafe port 5050        # Gopher

acl PortasSafe port 210         # WAIS

acl PortasSafe port 488         # GSS-HTTP

acl PortasSafe port 591         # Filemaker

acl PortasSafe port 777         # Multiling HHTP

acl PortasSafe port 631         # CUPS

acl PortasSafe port 873         # rsync

acl PortasSafe port 216         # rsync

acl PortasSafe port 212         # rsync

acl PortasSafe port 2080        # rsync

acl PortasSafe port 901         # SWAT



# Portas de sistemas internos

acl PortasSafe port 2081        # Expresso

acl PortasSafe port 2095        # Webmail

acl PortasSafe port 8089        # SIPREV

acl PortasSafe port 2082        # Administracao do site

acl PortasSafe port 3310        # phpMyAdmin

acl PortasSafe port 10000       # Webmin

acl PortasSafe port 15000       # SARG



# Portas de sistemas externos

acl PortasSafe port 53389       # Geafin

acl PortasSafe port 443         # Conectivadade Social

acl PortasSafe port 1030        # COMPREV

acl PortasSafe port 1031        # COMPREV

acl PortasSafe port 1032        # COMPREV

acl PortasSafe port 5018        # COMPREV

acl PortasSafe port 5025        # COMPREV

#acl PortasSafe port 2002



# Portas da Internet

acl PortasSafe port 7443        # AES-SUL

acl PortasSafe port 8000        # TV Camara - Novo Hamburgo

acl PortasSafe port 84          # UNIMED

acl PortasSafe port 8080        # Caixa

acl PortasSafe port 8087        # Caixa

acl PortasSafe port 8081        # TRE-RS - Jurisprudenciaa

acl PortasSafe port 8083        # Prefeitura de Sao Leopoldo

acl PortasSafe port 8098        # TRI - Vale Transporte

acl PortasSafe port 8282        # Cartao Combustivel

acl PortasSafe port 9002 10000  # Unimed - Inscricoes



# O misterio das portas...

acl PortasSafe port 7116

acl PortasSafe port 1340

acl PortasSafe port 1239



#acl PortasSafe port 1025-65535 # Portas nao registradas



########################################################################

#

# PAGINAS DE ERRO PERSONALIZADAS PARA AS ACLs ACIMA DEFINIDAS

#

########################################################################



#

# BLOQUEIOS DE ENDERECOS E PALAVRAS

#



deny_info BLOCK_VIRUS BloqueioPalavrasVirus

deny_info BLOCK_VIRUS BloqueioEnderecosVirus



deny_info BLOCK_SEXO BloqueioPalavrasSexo

deny_info BLOCK_SEXO BloqueioEnderecosSexo



deny_info BLOCK_DOWNLOADS BloqueioPalavrasDownloads

deny_info BLOCK_DOWNLOADS BloqueioEnderecosDownloads



deny_info BLOCK_PROXIES BloqueioEnderecosProxies



deny_info BLOCK_JOGOS BloqueioEnderecosJogos



deny_info BLOCK_PLUGINS BloqueioEnderecosPlugins



deny_info BLOCK_SOCIAL BloqueioEnderecosSocial



deny_info BLOCK_OUTROS BloqueioEnderecosOutros



#

# BLOQUEIOS DE ACESSO AO SERVIDOR, PORTAS< MAQUINAS, ACESSSO EXTERNo E USUARIOS

#



deny_info BLOCK_PORTAS PortasSafe

deny_info BLOCK_PORTAS PortasSSL



deny_info BLOCK_MAQUINAS BloqueioMACs

deny_info BLOCK_MAQUINAS BloqueioIPsLocais



deny_info BLOCK_EXTERNO BloqueioIPsDST

deny_info BLOCK_EXTERNO BloqueioIPsSRC



deny_info BLOCK_USUARIOS BloqueioUsuarios



########################################################################

#

# LIBERACAO E BLOQUEIO DAS ACLs ACIMA DEFINIDAS

#

########################################################################



# Permite o gerenciamento de informacoes do Squid apenas para o servidor local

http_access allow Cache LocalhostSRC

#http_access allow Cache all

http_access deny  Cache



# Permite o gerenciamento do cache do Squid apenas para o servidor local

#http_access allow Purge LocalhostSRC

#http_access deny  Purge



# Impede que um servico pense que quem pode acessar o Localhost eh um usuario local

http_access deny  LocalhostDST



# Bloqueia o acesso a portas que nao foram liberadas

http_access deny  !PortasSafe



# Bloqueia a conexao direta a portas que nao foram liberadas

http_access deny  Conexao !PortasSSL



# Libera o acesso e conexao a internet, sem bloqueios

http_access allow LiberacaoIPsLocais



# Bloqueia o acesso interno e externo a um endereco IP

http_access deny  BloqueioIPsDST

http_access deny  BloqueioIPsSRC



# Libera o acesso interno e externo a um endereco IP

http_access allow LiberacaoIPsDST

http_access allow LiberacaoIPsSRC



# Libera o acesso a uma lista de URLs e enderecos

http_access allow LiberacaoEnderecos



# Bloqueia o acesso e conexao a internet

http_access deny  BloqueioMACs

http_access deny  BloqueioIPsLocais



# Exige a digitacao de senha pelos usuarios quando acessando a Internet

http_access allow Senha



#

# REGRAS DE BLOQUEIO - NIVEL BAIXO

#



# Blqueia o acesso a paginas que tenha virus

http_access deny BloqueioPalavrasVirus

http_access deny BloqueioEnderecosVirus

# Bloqueia o acesso a paginas relacionadas com sexo

http_access deny BloqueioPalavrasSexo

http_access deny BloqueioEnderecosSexo

# Bloqueia o acesso a paginas de downlads, bem como o download de arquivos

http_access deny BloqueioPalavrasDownloads

http_access deny BloqueioEnderecosDownloads

# Bloqueia o acesso a proxies para conexao

http_access deny BloqueioEnderecosProxies

# Bloqueia o acesso a jogos online

http_access deny BloqueioEnderecosJogos



http_access allow LiberacaoMACs



# Lista de usuarios com acesso a internet, com bloqueio baixo

http_access allow LiberacaoUsuariosComAcesso





#

# REGRAS DE BLOQUEIO - NIVEL MEDIO

#



# Bloqueia os botões de compartilhamento das redes sociais

http_access allow BloqueioEnderecosPlugins



# Bloqueia o acesso a redes sociais e chats

http_access deny  BloqueioEnderecosSocial

# Bloqueia o acesso a outros enderecos

http_access deny  BloqueioEnderecosOutros



# Lista dos usuarios com acesso a internet, com bloqueio baixo e medio

http_access allow LiberacaoUsuariosSemAcesso



# Lista dos usuarios sem acesso a internet

http_access deny  BloqueioUsuarios all



#

# REGRAS DE BLOQUEIO - NIVEL ALTO

#



# Bloqueia qualquer acesso a internet que nao seja dos IPs listados

http_access deny  !RedeInterna



# Bloqueia qualquer outro acesso a rede

http_access deny  all



########################################################################

#

# CONFIGURACOES IMPORTANTES

#

########################################################################



# Porta utilizada para conexao

http_port 3128



#dns_nameservers 10.1.100.5



# Quando uma das palavras abaixo eh digitada, automaticamente eh direcionado para o cache do Squid

hierarchy_stoplist cgi-bin ?



# Autoriza respostas a requisicoes dos clientes

http_reply_access allow all



# Autoriza acesso a porta ICP (protocolo de cache de Internet)

icp_access allow all



# Autoriza o cabecalho X-Forwarded-For

follow_x_forwarded_for allow all



# Define a opcao de debug para testes das ACLs do Squid

debug_options ALL,1 33,2 28,9



# Define metodos adicionais de requisicao

extension_methods REPORT MERGE MKACTIVITY CHECKOUT



# Regras de suporte

acl shoutcast rep_header X-HTTP09-First-Line ^ICY\s[0-9]

upgrade_http0.9 deny shoutcast

acl apache rep_header Server ^Apache

broken_vary_encoding allow apache



#

# CONFIGURACOES SOBRE O CACHE

#



# Define o tamanho da memoria a ser utilizada pelo cache de objetos em trafego, quentes ou com cache negado.

cache_mem 8 MB



# Cria uma pasta no disco para ser usada como cache. O primeiro numero corresponde ao tamanho em MB.

cache_dir aufs /var/spool/squid 100 16 256



cache_replacement_policy heap LRU

memory_replacement_policy  heap LRU



# Tamanho maximo de objetos guardados na memoria

maximum_object_size_in_memory 512 KB



# Tamanho minimo de objetds guardados no disco

minimum_object_size 0 KB     # Neste caso, todos os objetos serao guardados



# Tamanho maximo de objetos guardados no disco

maximum_object_size 4 MB



# Valor minimo para reposicao de objetos armazenados no cache

cache_swap_low 90



# Valor maximo para reposicao de objetos armazenados no cache

cache_swap_high 95



# Frequencia de atualizacao do cache

refresh_pattern ^ftp:           1440    20%     10080

#refresh_pattern ^gopher:       1440    0%      1440 # Nao mais usado

refresh_pattern .               0       20%     4320



#

# CONFIGURACOES SOBRE OS LOGS

#



# Registro dos acessos

access_log /var/log/squid/access.log squid



# Cache da memoria

cache_log none          # Desativado



# Cache do disco

cache_store_log none    # Desativado



# Define a rotacao dos logs de 0 a 9

#logfile_rotate 10



########################################################################

#

# OUTRAS CONFIGURACOES

#

########################################################################



# Define a pasta onde ficam as paginas de erro do Squid

error_directory /etc/squid/errors



# Endereco de email do gerenciador do sistema

cache_mgr chamados@ipasemnh.com.br



# Define o nome deste servidor

visible_hostname Servidor de Rede