Depois que instalamos o Squid vamos renomear o arquivo de configuração para criarmos um do zero.

Transcrição

1 Pessoal nesse artigo vou mostrar um pouco do Squid, um servidor de Proxy, ele trabalha como saída principal da rede, com isso podemos centralizar nosso foco em segurança (políticas de acesso, autenticação, etc.) em uma única máquina, o Squid trabalha com os principais protocolos da internet alguns deles são: HTTP, HTTPS, FTP. O squid é um software livre licenciado pela GPL, sua utilização pode nos trazer varias vantagens como: Autenticação, Controle de Acesso, Cache, Controle Centralizado, Registros de Acesso, etc. Ele também atua como Proxy transparente evitando que usuários espertinhos possam burlar o controle de acesso. Bem chega de teoria e vamos começar o trabalho: O Squid é formado de um único pacote, o que torna sua instalação extremamente fácil. # apt-get install squid3 Depois que instalamos o Squid vamos renomear o arquivo de configuração para criarmos um do zero. # mv /etc/squid3/squid.conf /etc/squid3/squid.conf.orig # nano /etc/squid3/squid.conf Vamos criar uma configuração básica no arquivo adicionando as seguintes linhas. http_port 3128 visible_hostname KORZOS acl SSL_ports port acl Safe_ports port acl CONNECT method CONNECT http_access deny!safe_ports http_access deny CONNECT!SSL_ports acl redelocal src /24 #colocar o ip da sua rede local http_access allow redelocal Execute o comando abaixo para reinicializar o SQUID: # service squid3 restart ou /etc/init.d/squid3 restart Que seu squid já deve estar em pleno funcionamento. Agora precisamos descobrir para que serve cada uma dessas linhas:

2 http_port 3128: Define em qual porta o Squid vai atuar, a porta default é a 3128 mas podemos definir qualquer outra porta. visible_hostname KORZOS: Define o nome do servidor, lembre-se de substituir o KORZOS pelo nome do seu servidor. acl SSL_ports port : Cria a acl contend as portas que são utilizadas no protocolo HTTPS. acl Safe_ports port : Cria a acl contendo as portas de diversos protocolos conhecidos na internet. acl CONNECT method CONNECT: Cria a acl CONNECT também do tipo method. http_access deny!safe_ports: Esta linha se torna bastante interessante pelo uso da!, pois ela bloqueia qualquer conexão que não contenha o conteúdo da acl Safe_Ports. http_access deny CONNECT!SSL_ports: Bloqueia qualquer conexão que não esteja no conteúdo da acl SSL_ports. acl redelocal src /24: Cria a acl redelocal contendo a faixa de endereço da rede, nesta acl você colocar o ip da sua rede. http_access allow redelocal: Libera a acl redelocal. Depois de uma breve explicação de todo o conteúdo do arquivo squid.conf é hora de criar as políticas de acesso (os bloqueios), antes de começar é importante lembrar que o squid trabalha de forma hierárquica, ou seja ele lê as regras em uma seqüência lógica, se você diz que ele deve bloquear a url que contenha a palavra sexo e depois mandar liberar, a url continuará bloqueada pois quando ele se encaixa em uma determinada regra ele não lê as demais. Bem mãos a massa; Obs: Nos exemplos a seguir utilizarei como exemplo somente as acl s do tipo: src, url_regex e time. Por questão de organização é bom criar arquivos com o conteúdo a ser trabalho para não poluir o.conf # nano /etc/squid3/palavras_bloqueadas.txt Nesse arquivo iremos adicionar palavras que serão bloqueadas, como: sexo, porno, putaria # nano /etc/squid3/sites_bloqueados.txt Nesse arquivo serão adicionados os sites que não terão acesso, como: 4shared.com, rapidshare.com, megavideo.com, filesonic.com # nano /etc/squid3/redes_sociais.txt Aqui iremos colocar as redes sociais, como: facebook.com, orkut.com, twiter.com # nano /etc/squid3/ips_liberados.txt

3 Nesse arquivo iremos colocar os ips das máquinas dos gerentes (e daquela estagiaria linda que entrou semana passada :) # nano /etc/squid3/sites_porno.txt Lista de sites pornôs: redtub.com, xvideos.com # nano /etc/squid3/formato_arquivo.txt Esse arquivo limita o tipo de arquivo que serão baixados, tudo que contiver nesse arquivo será bloqueado:.avi$,.mp3$,.wmv$ Pronto depois dos arquivos criados e preenchidos é hora de criar as acl s: todas as acl s abaixo será colocar logo depois de acl redelocal do arquivo squid.conf. acl palavras_bloqueadas url_regex -i /etc/squid3/palavras_bloqueadas.txt acl sites_bloqueados url_regex i /etc/squid3/sites_bloqueados.txt acl redes_sociais url_regex -i /etc/squid3/redes_sociais.txt acl liberados src /etc/squid3/ips_liberados.txt acl porno url_regex -i /etc/squid3/sites_porno.txt acl formato_arquivo url_regex -i /etc/squid3/formato_arquivo.txt acl horario_almoco time 12:00-13:00 http_access allow liberados http_access deny sites_bloqueados http_access deny palavras_bloqueadas http_access deny porno http_access deny formato_arquivo Depois de adicionar essas linhas no squid.conf é so reiniciar para que elas entrar em vigor # service squid3 restart ou /etc/init.d/squid3 restart Pessoal vamos entender o funcionamento dessas acl s, no exemplo acima criamos um modelo meio que padrão, no primeiro parágrafo criamos as acl s e no segundo liberamos ou bloqueamos as mesmas de acordo com nossa política, vamos dessecar linha por linha: acl rede_local src /24 -> Cria a acl rede_local contendo a faixa de endereço da rede local. acl palavras_bloqueadas url_regex -i /etc/squid3/palavras_bloqueadas.txt -> Cria a acl palavras_bloqueadas contendo as palavras proibidas que estão no arquivo descrito.

4 acl sites_bloqueados url_regex -i /etc/squid3/ sites_bloqueados.txt -> Cria a acl sites_bloqueados contendo os sites proibidos que estão no arquivo descrito. acl redes_sociais url_regex -i /etc/squid3/redes_sociais.txt -> Cria a acl redes_sociais contendo os sites de redes sociais que estão no arquivo descrito. acl liberados src /etc/squid/ips_liberados.txt -> Cria a acl liberados contendo endereços de ip que estão no arquivo descrito. acl porno url_regex -i /etc/squid/sites_porno.txt -> Cria a acl porno contendo os sites pornôs que estão no arquivo descrito. acl formato_arquivo url_regex -i /etc/squid/formato_arquivo.txt -> Cria a acl formato_arquivo contendo os tipos de arquivos que serão bloqueados que estão no arquivo descrito. acl horario_almoco time 12:00-13:00 -> Cria a acl horario_almoco do horário de meio dia há uma da tarde. Aqui que a mágica acontece, a ordem de como você organiza as acl s é que faz toda a diferença, vamos lá. http_access allow liberados -> Aqui nos liberamos acesso total para os ip s que estiverem no arquivo que criamos anteriormente. Nessas linhas permitimos que qualquer usuário acesse os sites de redes sociais que estiverem no arquivo que criamos dentro do horário de 12:00 as 13:00, após esse horário o acesso é bloqueado. http_access deny sites_bloqueados -> Bloqueia o acesso aos sites que estiverem no arquivo criado dentro da acl sites_bloqueados. http_access deny palavras_bloqueadas -> Bloqueia o acesso a palavras que estiverem no arquivo criado dentro da acl palavras_bloqueadas. http_access deny porno -> Bloqueia o acesso os sites porno que estiverem no arquivo criado dentro da acl porno. http_access deny formato_arquivo -> Bloqueia o acesso a download que forem do tipo de arquivo contido no arquivo criado na acl formato_arquivo. http_access allow rede_local -> Se o acesso não se encaixou em nenhuma das regras acima e for proveniente da rede interna ele é liberado. Bem pessoal depois de tudo isso vamos ver como ficou nosso squid.conf.

5 http_port 3128 visible_hostname KORZOS acl SSL_ports port acl Safe_ports port acl CONNECT method CONNECT http_access deny!safe_ports http_access deny CONNECT!SSL_ports acl redelocal src /24 #colocar o ip da sua rede local acl palavras_bloqueadas url_regex -i /etc/squid3/palavras_bloqueadas.txt acl sites_bloqueados url_regex i /etc/squid3/sites_bloqueados.txt acl redes_sociais url_regex -i /etc/squid3/redes_sociais.txt acl liberados src /etc/squid3/ips_liberados.txt acl porno url_regex -i /etc/squid3/sites_porno.txt acl formato_arquivo url_regex -i /etc/squid3/formato_arquivo.txt acl horario_almoco time 12:00-13:00 http_access allow liberados http_access deny sites_bloqueados http_access deny palavras_bloqueadas http_access deny porno http_access deny formato_arquivo http_access allow redelocal Alguns comandos úteis: Para acompanhar o arquivo de log em Real Time: # tail -f /var/log/squid3/access.log Para limpar o arquivo de log: # echo >/var/log/squid3/access.log Fonte: transparent-no-ubuntu-13-10/