liberar porta para acessar sites de banco e email, gmail yahoo, hotmail, ente outros

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 08:42h

Estou acessando todos os sites porem os protocolos https nao funcionam ja acrescentei uma regra no firell e nada esta liberando tb no squid

veja como esta no squid


acl SSL_ports port 443 563 #https
593 acl Safe_ports port 80 # http
594 acl Safe_ports port 21 # ftp
595 acl Safe_ports port 443 563 2083 2707 2087 # https
596 acl Safe_ports port 70 # gopher
597 acl Safe_ports port 210 # wais
598 acl Safe_ports port 1025-65535 # unregistered ports
599 acl Safe_ports port 280 # http-mgmt
600 acl Safe_ports port 488 # gss-http
601 acl Safe_ports port 591 # filemaker
602 acl Safe_ports port 777 # multiling http
603 acl Safe_ports port 5228 # Android Market
604 acl Safe_ports port 8889 # Android
605 acl Safe_ports port 4410 # Android
606 acl CONNECT method CONNECT



minha regra no firewall

#!/bin/bash
2
3 iptables -F
4 iptables -X
5 iptables -t nat -F
6 iptables -t nat -X
7 iptables -t mangle -F
8 iptables -t mangle -X
9 iptables -P INPUT DROP
10 iptables -P FORWARD DROP
11 iptables -P OUTPUT ACCEPT
12 iptables -A INPUT -i lo -j ACCEPT
13 iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
14 iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
15
16 iptables -A INPUT -i eth1 -j ACCEPT
17
18 iptables -t nat -A POSTROUTING -s 192.168.x.x/255.255.255.0 -o eth0 -j MASQUERADE
19
20 iptables -t nat -A PREROUTING -s 192.168.x.x/255.255.255.0 -p tcp --dport 80 -j REDIRECT --to-port 3128
21
22 iptables -A INPUT -p tcp --dport 443 -j ACCEPT
23
24 iptables -A FORWARD -p tcp --dport 443 -j ACCEPT

Valeu galera



lembrando que eu nao tenho interesse de bloquear nada, pois esse servidor é somente para acesso a rede sem fio da empresa onde trabalho...
~
~

renato_pacheco
(usa Debian)

Enviado em 01/04/2011 - 10:04h

Se vc não tem interesse d bloquear nada, mude suas regras. Primeiro, a política... deixe tudo como ACCEPT, dessa forma:

iptables -P INPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -P OUTPUT ACCEPT

Depois remova as outras regras d liberação (como tá tudo liberado, pra q liberar d novo?):

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A FORWARD -p tcp --dport 443 -j ACCEPT

Assim vc terá menos trabalho (apesar d não ser o ideal).

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 10:49h

acabei de fazer o teste mesmo assim nao entra no email do yahoo hotmail gmail entre outros

renato_pacheco
(usa Debian)

Enviado em 01/04/2011 - 10:54h

O horário do servidor tá correto? Se tiver incorreto, o certificado não fica válido. Aparece alguma msg quando vc tenta acessar sites seguros?

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 10:55h

aparece tempo limite atingido

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 10:56h

quanto ao horario esta correto

renato_pacheco
(usa Debian)

Enviado em 01/04/2011 - 11:08h

Tente fazer o seguinte: nas suas regras do iptables, q indicam o estado da conexão, ou vc pode removê-las ou tente colocar dessa forma:

iptables -A INPUT -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT
iptables -A FORWARD -m state --state NEW,ESTABLISHED,RELATED -j ACCEPT

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 11:22h

cara inda nao deu certo se que tem alguma coisa com o meu squid

renato_pacheco
(usa Debian)

Enviado em 01/04/2011 - 11:32h

Primeiramente, vc não botou todas as regras do squid. Segundo, o squid (quando transparente) não interfere na porta 443, pois ele filtra apenas a porta 80. Não sei o q vc tá fazendo d errado... é pra funcionar.

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 11:34h

Uma coisa que reparei é se eu colocar o proxy no navegar eu consigo acessar, todas a paginas, mesmo o meu squid estando transparente

driovitor
(usa Kurumin)

Enviado em 01/04/2011 - 11:47h

segue o meu squid

acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8
#
# Example rule allowing access from your local networks.
# Adapt to list your (internal) IP networks from where browsing
# should be allowed
#acl localnet src 10.0.0.0/8 # RFC1918 possible internal network
#acl localnet src 172.16.0.0/12 # RFC1918 possible internal network
acl localnet src 192.168.100.0/24 # RFC1918 possible internal network
#
acl SSL_ports port 443 563 #https
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 2083 2707 2087 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 5228 # Android Market
acl Safe_ports port 8889 # Android
acl Safe_ports port 4410 # Android
acl CONNECT method CONNECT


http_access allow manager localhost
http_access deny manager
# Deny requests to unknown ports
http_access deny !Safe_ports
# Deny CONNECT to other than SSL ports
http_access deny CONNECT !SSL_ports

# Sites Liberados
acl sites-liberados dstdomain "/etc/squid3/sites-liberados"
http_access allow sites-liberados

http_access allow localnet
http_access allow localhost


# And finally deny all other access to this proxy
http_access deny all

icp_access deny all

htcp_access deny all

http_port 3128 transparent

renato_pacheco
(usa Debian)

Enviado em 01/04/2011 - 13:20h

Então o problema pode tá no mascaramento. Deixe-o dessa forma:

iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE