[CentOS-es] Bloqueo de https
Julian S. Jatem Leañez
jsjateml en gmail.com
Jue Ene 23 13:33:25 UTC 2014
despues de instalar el squid a la carpeta de squid, /etc/squid,
1.- has un vi squid.conf buscas la linea 1120 dond aparece http_port
direccion_ip:3128.
http_port 192.168.20.2:3128 (si dejas solo el puerto lo hace
transparente, pero despues me daba problema con el dansguardian para el
bloqueo de https)
2.- agrega un acl con tu red en mi caso quedo asi
acl red src 192.168.20.0/24
3.- tambien crea acl para bloqueo de paginas y las paginas permitidas
acl sites_restringidos url_regex
"/etc/squid/sites_restringidos"
acl sites_especiales url_regex "/etc/squid/sites_especiales"
sites_restringidos y sites_publicos son archivos que tu creas, y las
direcciones que colocas alli son sin el http
4.- tambie los acl para los puertos que vas a utilizar en internet en mi
caso "
acl SSL_ports port 9443 3000 1228
acl Safe_ports port 9443 3000 1228
5.- por ultimo con squid tienes que decir que se permite y que no de esta
forma
http_access allow permitidos
http_access allow red
http_access allow sites_publicos
http_access deny sites_restringidos
6.- guarda los cambios
ahora vamos con dansguardian, ve a /etc/dansguardian
1.- has un vi a dansguardian.conf y ve a la linea 86, 89,92,95
filterip = ip_del_filtrado_de_contenido
filterport = 8080 (yo coloco este pero puedes usar el que tu quieras)
proxyip = ip_ del_servidor_proxy
proxyport = 3128
en mi caso el servidor de filtrado de contenido y el proxy es el mismo,
aunq se puede dar el caso de que los quieran separar pero no veo el caso de
eso
2.-ve a la carpeta lists y alli tienes varios archivos donde puede indicar
si vas a permitir ciertas ips o bannear paginas ( aqui es dond se bloquea
el https). En mi caso yo buscaba bloquear facebook, twitter y youtuble, asi
que en el archivo bannedurllist y bannedsitelist y coloque en cada una de
ellas facebook.com, twitter.com, youtube.com.
Por ultimo tienes que hacer una arregle en la iptables en las tablas de nat
en la cadena del PREROUTING
iptables -t nat -A PREROUTING -p tcp --dport 80 -j REDIRECT --to-port 8080
has esto con el puerto 80 443 y tambien el 3128. Esto lo hace para
canalizar todo el trafico que va hacia internet por el puerto 8080 (en tu
caso puede ser otro puerto)
Chain PREROUTING (policy ACCEPT 691K packets, 43M bytes)
pkts bytes target prot opt in out source
destination
31735 1666K REDIRECT tcp -- eth0 * 0.0.0.0/0
0.0.0.0/0 tcp dpt:80 redir ports 8080
158K 8329K REDIRECT tcp -- eth0 * 0.0.0.0/0
0.0.0.0/0 tcp dpt:443 redir ports 8080
y coloca el proxy en cada navegador y de las maquinas de tu red
Espero que esto te ayude intente hacerlo lo mas sencillo posible, pero si
algo te da problema escribe y intentare responder. Igual deben haber muchos
gurus que podran dar una mejor explicacion
2014/1/23 Rodolfo Vargas <edgarr789 en gmail.com>
> El 22/1/14, tito25 en gmail.com <tito25 en gmail.com> escribió:
> > Hola buenas Tardes,
> >
> > Estoy por realizar unas pruebas de un servidor proxy en Centos 5.5 +
> Squid
>
> Deberías de actualizar a CentOS 5.10 ó mejor aún CentOS 6.5, recuerda
> que las imágenes iso son de libre descarga y si no puedes descargarlo
> puedes pedir el favor a algún amigo o a alguna persona con acceso a
> internet.
>
>
> > para bloquear paginas "https", si alguien tiene como realizarlo, seria de
> > mucha ayuda o también alguien podría decirme si esta solución va hacer
> > efectiva o re repente puedo instalar otra que sea mas efectiva.
>
> Si se puede hacer eso, si tienes proxy transparente de igual manera,
> nada mas que ya el squid no filtrará https, para resolver eso usa a
> iptables bloquea el puerto https para un rango de ips como el que
> tiene facebook.
>
> host -ta www.facebook.com
> whois laipdearriba
>
> luego regla iptables..., funciona perfecto, hay un articulo en ecualug
> ahi encontré la solucion, lo probé con algo de modificacion para mi
> red lan y funciona perfecto.
>
> >
> > También quisiera algún tipo de reporte como saber de q IP entro a q
> paginas
> > creo q el Squid dispone se eso no estoy muy seguro
>
> lo mas simple es leer al mismo squid, tail -f
> /var/log/squid/acces.log en tiempo real y si quiere ver más y revisar
> puede usar:
>
> tail -80 /var/log/squid/access.log | less eso muestra información,
> pero bueno usted puede instalar otras herramientas que requieren otros
> servicios para funcionar, mi recomendación es que solo use a squid,
> tiene lo necesario, soloe s cuestion de adaptarse, saludos y suerte.
>
> >
> >
> > Les agradecería me envíen sus sugerencias o experiencias
> >
> >
> > Saludos
> >
> >
> > Roberto
> > _______________________________________________
> > CentOS-es mailing list
> > CentOS-es en centos.org
> > http://lists.centos.org/mailman/listinfo/centos-es
> >
>
>
> --
> Live free or die!
> _______________________________________________
> CentOS-es mailing list
> CentOS-es en centos.org
> http://lists.centos.org/mailman/listinfo/centos-es
>
--
*Ing. Julian Jatem*
*0414-8695515*
Más información sobre la lista de distribución CentOS-es