Re: [gentoo-user-br] squid com https

[Alain Dellon Brito]

Aqui eu implementei uma solução muito boa, que consiste em bloquear todas as
portas para acesso direto inclusive a porta 443 e 80, dai tudo que quiser
acessar a net tem que ter minha supervisão antes. No caso dos messengers,
icqs e skypes da vida o usuário tem que informar o proxy para a aplicação
antes de acessar. No início parece um saco, mas a melhor solução é sem
dúvidas ter a maior restrição possível, assim você sabe exatamente como sua
rede se comporta. Aqui meus usuários sempre ficam frustrados por nunca
conseguirem burlar o firewall, mas como eu disse, eu projetei um firewall
bem restritivo e que exige que sejam feitas configurações específicas na
máquina cliente.

Quanto a navegar no orkut por HTTPS eu também já vi usuários que navegavam
na boa. Dai a solução foi junto com o squidGuard (um plugin do Squid) Criar
ACLs que barravam o https://www.orkut.com . E pode crer, funciona na boa,
mas para isso o squid não pode trabalhar no modo Transparente.

Ok?

Até+


Em 10/08/06, Tenório Cavalcante <ten@×××××××.br> escreveu:
>
> hmm,
>
> faz o seguinte (é quase censura):
>
>
> retira o masquerade pros clientes nao importantes (ip forwarding)
>
> põe o squid pra fazer proxy (não transparente)
> daí tenta a regra que eu postei
>
> se vc usar dhcp pra configurar os clientes,
> faz uma lista de ips estaticos que tenham
> direito a masquerade. o resto bloqueia
> e quem quiser acesso vai ter que passar pelo squid.
>
> fica mais facil você permitir poucos
> e negar pra todo o resto.
>
> em ultimo caso, bloqueia https vindo da
> intranet, e libera só pro firewall.
> daí vão ter que passar pelo squid...
>
> tem mais uma observacao: você não vai conseguir
> filtrar ssl com proxy transparente. Isto é inclusive
> documentado:
> http://www.faqs.org/docs/Linux-mini/TransparentProxy.html#ss2.3
>
> []'s
> tenorio
>
>
> On Thu, 2006-08-10 at 16:24 -0300, Diego Alberto Ramponi wrote:
> > sim, isso é verdade, mas ae o que eu faço com as pessoas que
> > necessitam acessar sites que possuem HTTPS, o meu maior problema é ter
> > uma única rede, mas com acessos segmentados.
> >
> > se eu for radical e bloquear tudo, ninguém acessa nada, aí eu me
> > ferro, se eu tiver que mapear os sites que são necessários, vou ter um
> > trabalho imenso.
> >
> > o que eu queria era encontrar uma solução mais rápida para o problema
> >
> > agradeço a ajuda de todos.
> >
> >
> > Em 10/08/06, Tenório Cavalcante < ten@×××××××.br> escreveu:
> >         E a propósito,
> >
> >         se vc comenta
> >
> >         acl Safe_ports port 443 563     # https, snews
> >
> >         nada passa mais por https....
> >         []'s
> >         tenorio
> >
> >
> >
> >         On Thu, 2006-08-10 at 12:43 -0400, Tenório Cavalcante wrote:
> >         > desculpa pela resposta amadora :)
> >         >
> >         > mas você já tentou algo do tipo?
> >         >
> >         > acl orkut url_regex -i orkut
> >         > http_access deny orkut
> >         >
> >         >
> >         > []'s
> >         > tenorio
> >         >
> >         >
> >
> >
> >
> >         --
> >         gentoo-user-br@g.o mailing list
> >
> >
> >
> >
> > --
> > KISS:
> >    Keep
> >       it
> >         simple,
> >            stupid!
>
>
> --
> gentoo-user-br@g.o mailing list
>
>