Squid или как с ним бороться

[нечто 0]

эта тема уже тут пролетала ранее ... но ответа на нее не было .. раньше я ей особо не придавал значения ... но с каждым месяцем она меня все больше затрагиевае... squid меня не сильно интересует как прокси ... больше как детальный логер.. потому что есть пользователи которым говоришь вот ваш компьютер лазил на этот ип... а она смотрир на тебя большими глазами и спрашивает... а что такое ип ... и какое вообще он имеет отношение к мои исчезнувшим деньгам... вернемся к теме .. я с этим squid'ом скоро параноиком стану... если прописываешь в эксплорере прокси на 80 порт и ип который считается по городским ценам ... то естественно все сайты в независимости от того где они находятся считаются стг как город... а если прописать вообще ип сервера и 80 порт ... то все будет бесплатно ... пока юзеров которых я вычислил за этим делом просто пускаю мимо сквида.. но это тоже не выход.. уже довольно много времени потратил на поиск всякой инфы по сквиду... но толку мало .. у кого есть идеи по этому поводу ...

[centre-lan 1]

эта тема уже тут пролетала ранее ... но ответа на нее не было .. раньше я ей особо не придавал значения ... но с каждым месяцем она меня все больше затрагиевае... squid меня не сильно интересует как прокси ... больше как детальный логер.. потому что есть пользователи которым говоришь вот ваш компьютер лазил на этот ип... а она смотрир на тебя большими глазами и спрашивает... а что такое ип ... и какое вообще он имеет отношение к мои исчезнувшим деньгам... вернемся к теме .. я с этим squid'ом скоро параноиком стану... если прописываешь в эксплорере прокси на 80 порт и ип который считается по городским ценам ... то естественно все сайты в независимости от того где они находятся считаются стг как город... а если прописать вообще ип сервера и 80 порт ... то все будет бесплатно ... пока юзеров которых я вычислил за этим делом просто пускаю мимо сквида.. но это тоже не выход.. уже довольно много времени потратил на поиск всякой инфы по сквиду... но толку мало .. у кого есть идеи по этому поводу ...

это беда прозрачного прокси

я уже как-то раз писал про такую беду.. но никто не ответил..

я удалил сквид

[dead 93]

может эта фишка старгейзера такая (хотя сомневаюсь), но прозрачный прокси ну никак не должен вызывать боков, на то он и прозрачный. Главное - запретить прямой коннект на порт прокси, а разрешить только с 127.0.0.1. Пакеты клиентов которые идут в мир считаются на входящем интерфейсе и дальнейший путь прохожения хоть через прокси хоть в утил на результатах не должен сказываться

[нечто 0]

так и есть .. на входящем интерфейсе считается то с каким ип он идет .. а этот ип равен городскому... или ип серверу... ну допустим висит у тебя сквид на 8080 ... прикрыл ты доступ к 8080.... прописываешЪ правило все что на 80 порт переруливать на 8080 ... вот тебе и прямой доступ к сквиду.. ип сервера и 80 порт ... можно закрыть на инпут 80 порт .. это не решает вопроса.. поскольку форвард ты закрыть не можешЪ .. и если есть еще какая либо бесплатная сеть то прописываешЪ ее ип.. даже если его не существует.... и все... у тебя бесплатный доступ в инет ... это не баг стг... стг считает то что видит ... а вот сквид наглым образом перенаправляет.. и я пока не нашел настроек которые бы это запрещали ....

[Sanito 129]

Может я ошибаюсь, но вроде как прозрачный сквид (как уже правильно было замечено) надо вешать ТОЛЬКО на 127.0.0.1:3128 (любой порт в принципе). Кроме этого, все коннекты к 127.0.0.1 должны быть запрещены (это правильно с точки зрения безопасности), под freebsd ipfw это:

 

ipfw add XXX deny log ip from any to 127.0.0.0/8

ipfw add XXX deny log ip from 127.0.0.0/8 to any

 

далее, заворачиваешь все запросы фтп/хттп на сквид:

 

ipfw add XXX fwd 127.0.0.1,3128 tcp from 192.168.0.0/16 to any dst-port 80

 

Таким образом:

 

1. никто не сможет пользоваться прокси напрямую

2. все считается правильно, поскольку через интерфейс проходит "правильный" траффик.

[нечто 0]

сложно понять пока сам не попробуешЪ... если у тя стоит прозрачный сквид.. и есть к примеру городские ип... пропиши у себя в експлорере прокси ... городской ип... и зайди на тот же ya.ru .. он у тебя посчитается как город.... поскольку заходит на фейс с городским ип... правило редиректит ентот городской ип в сквид... сквид выберает реальный урл.. и загружает его ...

[centre-lan 1]

сложно понять пока сам не попробуешЪ... если у тя стоит прозрачный сквид.. и есть к примеру городские ип... пропиши у себя в експлорере прокси ... городской ип... и зайди на тот же ya.ru .. он у тебя посчитается как город.... поскольку заходит на фейс с городским ип... правило редиректит ентот городской ип в сквид... сквид выберает реальный урл.. и загружает его ...

удали сквид и все..

я так сделал

[нечто 0]

да я же написал зачем он мне нада ... он мне довольно критичен... может есть еще способы урлы логить?... пока отслеживаю... еще чуть чуть и правда удалю нах..

[centre-lan 1]

да я же написал зачем он мне нада ... он мне довольно критичен... может есть еще способы урлы логить?... пока отслеживаю... еще чуть чуть и правда удалю нах..

статистика к старгейзеру не помогает?

[dead 93]

да я же написал зачем он мне нада ... он мне довольно критичен... может есть еще способы урлы логить?... пока отслеживаю... еще чуть чуть и правда удалю нах..

статистика к старгейзеру не помогает?

Ты немного не врубился, что человек говорит, он говорит о том, что клиент может прописать несуществующий прокси у себя в эксплорике. при этом запросы будут идти на этот прокси, но сам сквид будет изымать из запроса адрес сайта и напрямую к нему коннектиться. Чесно говоря я не тестировал такую ситуацию, но думаю в параметрах сквида можно указать, что если запрос идет на прокси, то прокси не подменять...

[нечто 0]

статистика к старгейзеру не помогает?

нет.. в первом посте я написал почему..