Re: [gentoo-user-br] squid com https

[Diego Alberto Ramponi]

Isso é verdade, eu também na época tinha pensado em algo do tipo, mas como o
no. de acessos e flutuante, o a administracao vai ficar complicada, pois com
178 máquinas na rede e com computadores quebrando a todo momento.. vixe vai
me dar muito trabalho,estava pensando em criar uns arquivos .REG para
configurar as estacões RUINDOUS e não utilizar mais os proxy transparente, e
deixear o acesso 'liso' somenta para alguns ips

iptables -t nat -s xxx.xxx.xxx -o my_ip_for_the_internet ......

acho que vai ser mais facil...

vlw

2006/8/10, Alain Dellon Brito <delloncba@×××××.com>:
>
> Aqui eu implementei uma solução muito boa, que consiste em bloquear todas
> as portas para acesso direto inclusive a porta 443 e 80, dai tudo que quiser
> acessar a net tem que ter minha supervisão antes. No caso dos messengers,
> icqs e skypes da vida o usuário tem que informar o proxy para a aplicação
> antes de acessar. No início parece um saco, mas a melhor solução é sem
> dúvidas ter a maior restrição possível, assim você sabe exatamente como sua
> rede se comporta. Aqui meus usuários sempre ficam frustrados por nunca
> conseguirem burlar o firewall, mas como eu disse, eu projetei um firewall
> bem restritivo e que exige que sejam feitas configurações específicas na
> máquina cliente.
>
> Quanto a navegar no orkut por HTTPS eu também já vi usuários que navegavam
> na boa. Dai a solução foi junto com o squidGuard (um plugin do Squid) Criar
> ACLs que barravam o https://www.orkut.com  . E pode crer, funciona na boa,
> mas para isso o squid não pode trabalhar no modo Transparente.
>
> Ok?
>
> Até+
>
>
> Em 10/08/06, Tenório Cavalcante <ten@×××××××.br> escreveu:
> >
> > hmm,
> >
> > faz o seguinte (é quase censura):
> >
> >
> > retira o masquerade pros clientes nao importantes (ip forwarding)
> >
> > põe o squid pra fazer proxy (não transparente)
> > daí tenta a regra que eu postei
> >
> > se vc usar dhcp pra configurar os clientes,
> > faz uma lista de ips estaticos que tenham
> > direito a masquerade. o resto bloqueia
> > e quem quiser acesso vai ter que passar pelo squid.
> >
> > fica mais facil você permitir poucos
> > e negar pra todo o resto.
> >
> > em ultimo caso, bloqueia https vindo da
> > intranet, e libera só pro firewall.
> > daí vão ter que passar pelo squid...
> >
> > tem mais uma observacao: você não vai conseguir
> > filtrar ssl com proxy transparente. Isto é inclusive
> > documentado:
> > http://www.faqs.org/docs/Linux-mini/TransparentProxy.html#ss2.3
> >
> > []'s
> > tenorio
> >
> >
> > On Thu, 2006-08-10 at 16:24 -0300, Diego Alberto Ramponi wrote:
> > > sim, isso é verdade, mas ae o que eu faço com as pessoas que
> > > necessitam acessar sites que possuem HTTPS, o meu maior problema é ter
> >
> > > uma única rede, mas com acessos segmentados.
> > >
> > > se eu for radical e bloquear tudo, ninguém acessa nada, aí eu me
> > > ferro, se eu tiver que mapear os sites que são necessários, vou ter um
> > > trabalho imenso.
> > >
> > > o que eu queria era encontrar uma solução mais rápida para o problema
> > >
> > > agradeço a ajuda de todos.
> > >
> > >
> > > Em 10/08/06, Tenório Cavalcante < ten@×××××××.br> escreveu:
> > >         E a propósito,
> > >
> > >         se vc comenta
> > >
> > >         acl Safe_ports port 443 563     # https, snews
> > >
> > >         nada passa mais por https....
> > >         []'s
> > >         tenorio
> > >
> > >
> > >
> > >         On Thu, 2006-08-10 at 12:43 -0400, Tenório Cavalcante wrote:
> > >         > desculpa pela resposta amadora :)
> > >         >
> > >         > mas você já tentou algo do tipo?
> > >         >
> > >         > acl orkut url_regex -i orkut
> > >         > http_access deny orkut
> > >         >
> > >         >
> > >         > []'s
> > >         > tenorio
> > >         >
> > >         >
> > >
> > >
> > >
> > >         --
> > >         gentoo-user-br@g.o mailing list
> > >
> > >
> > >
> > >
> > > --
> > > KISS:
> > >    Keep
> > >       it
> > >         simple,
> > >            stupid!
> >
> >
> > --
> > gentoo-user-br@g.o mailing list
> >
> >
>


-- 
KISS:
   Keep
      it
        simple,
           stupid!