Рубрика: squid

squid

squid \ proxy \ bind9 \ iptables-persistent \ iptables \ ubuntu \ manual

Автор записи Автор: Evgeny Yakovlev
Дата записи 2018/02/27
Комментариев к записи squid \ proxy \ bind9 \ iptables-persistent \ iptables \ ubuntu \ manual нет

0) Упер отсюда  https://github.com/ksemaev/manuals/blob/master/Proxy%20and%20firewall%20on%20Ubuntu.md

1) Ставим нужные пакеты:
sudo apt-get install bind9 squid3
 
2) Разрешаем проброс пакетов между сетевыми интерфейсами указанием в файле /etc/sysctl.conf ключа net.ipv4.ip_forward=1

 
3) Для упрощения отключаем родной firewall (позже по желанию включим):

sudo ufw disable

 
4) Проверяем что по умолчанию в iptables все разрешено и нет никаких правил: 

sudo iptables -L

 
5) Включаем политику блокировки по умолчанию всех входящих и проходящих пакетов (исходящие можем оставить в разрешенных):

sudo iptables -P INPUT DROP

sudo iptables -P FORWARD DROP

 
6) Можем разрешить входящий пинг и проверить его из локалки:

sudo iptables -A INPUT -p icmp -j ACCEPT
sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT


 
7) Можем создать промежуточную резервную копию правил iptables:

sudo iptables-save > iptables.backup

 
8) Разрешаем входящие и проходящие пакеты в рамках уже существующих соединений:

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

 
9) Разрешаем пинг наружу, через хост firewall:

sudo iptables -A FORWARD  -p icmp -j ACCEPT

 
10) Для того чтобы заработали пакеты, проходящие из локалки (у меня это 192.168.0.0/24) наружу нужно включить SNAT или, 
что проще в данном случае, правило маскарада (замена адреса источника пакетов из локальной сети на внешний адрес хоста firewall):

sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

 
11) Можем попробовать сохранить правила iptables:

sudo apt install iptables-persistent 

sudo service iptables-persistent save

 
12) Можно, для того чтобы можно было разрешать DNS –запросы, разрешить проходящий DNS трафик (он работает по TCP и UDP). 
Если хочется использовать свой DNS сервер на этой же машине, то вместо это шага выполняется шаг № 17.

sudo iptables –A FORWARD –p tcp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

sudo iptables –A FORWARD –p udp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

 
13) Но чтобы два раза не вставать, лучше сделать сразу правило для всех необходимых протоколов. 
Поэтому я удаляю правило с DNS для tcp 
и создаю правило сразу для многих нужных протоколов (номера портов нужных протоколов можно легко нагуглить):

sudo iptables –D FORWARD –p tcp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

sudo iptables –A FORWARD –p tcp –m multiport --ports 80,8080,110,5190,25,21,443 –s 192.168.0.0/24 –j ACCEPT

 
14) В качестве возможного варианта рассматриваем проброс портов вовнутрь сети, а именно: 
если мы хотим из интернета (то есть стучась во внешнюю сетевую карту firewall, в моем случае это enp0s3) попадать на какой-то веб-сервер, 
который находится в локальной сети по адресy 192.168.0.101 и прослушивает запросы по порту 80, 
то нам нужно создать правило DNAT (проброс порта) и разрешить проходящие пакеты по порту 80:

sudo iptables –t nat -A PREROUTING -i enp0s3 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.101

sudo iptables -A FORWARD -i enp0s3 -p tcp --dport 80 -j ACCEPT

 
15)  Если у нас есть еще один веб-сервер в локалке (у меня 192.168.0.102), который использует тот же 80 порт, 
то нам нужно на firewall открыть какой-нибудь другой порт (у меня в примере 81) 
и соединения к нему пробрасывать на нужный веб сервер по порту 80:

sudo iptables –t nat -A PREROUTING -i enp0s3 -p tcp -m tcp --dport 81 -j DNAT --to-destination 192.168.0.102:80

 
16) Можем попробовать сохранить правила командой:

sudo dpkg-reconfigure iptables-persistent

 
17) Для того чтобы самим разрешать DNS запросы на нашем сервере, нужно ему разрешить эти запросы прослушивать в iptables:
sudo iptables -A INPUT -p tcp -m multiport --ports 53 -s 192.168.0.0/24 -j ACCEPT
sudo iptables -A INPUT -p tcp -m multiport --ports 53 -s 192.168.0.0/24 -j ACCEPT

18) Также необходимо разрешить весь петлевой траффик, так как есть программы его использующие 
(т.е. трафик не выходящий за пределы нашего сервера, но проходящий через сетевые интерфейсы):
sudo iptables -A INPUT -i lo -j ACCEPT

19) Сервер bind в данной конфигурации будет тупо перенаправлять все DNS-запросы через себя на указанный ему DNS-сервер. 
Для этого в его конфиге нужно указать куда передавать трафик, по какому порту и сетевой карте слеушать запросы, 
и (если мы не хотим чтоб он сам пытался разрешить запрос) указать ему сразу делать перенаправление запроса. 
Все это осуществляется редактированием файла /etc/bind/named.conf.options:
forwarders { dns_server_ip; };
forward first;
Listen-on port 53 { lan_ipl; };
//dnssec-validation auto;

20) В текущей версии Ubuntu 16.04 управлять демоном bind пытается rndc, а ей для этого нужны ключи. Их можно создать командой:
sudo rndc-confgen -r /dev/urandom
Не закомментированную часть вывода следует отправить в файл /etc/bind/rndc.conf, а закомментированную в /etc/bind/named.conf

22) Теперь можно перезагрузить демон bind и проверить как сам сервер (и машины у которых он указан в качестве DNS) разрешают DNS запросы:
sudo service bind9 restart
nslookup ya.ru

-----------------
23) Проверяю версию squid командой /usr/sbin/squid -v и делаю резервную копию файла конфигурации: 
sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.backup

24) Файл конфигурации /etc/squid/squid.conf сильно отличается от версии к версии, но параметры в нем неизменны. В частности нам нужно указать:
локальную сеть: 
acl localnet src 192.168.0.0/24
разрешить из нее доступ: 
http_access allow localnet
http_access allow localhost
указать адрес локальной сетевой карты, порт и опцию прозрачности (в старых версиях она называется не intercept а transparent):
http_port 192.168.0.10:3128 intercept

25) Для применения настроек squid следует перезапустить:
sudo service squid restart

26) Теперь следует убрать из правил iptables страрое правило проброса http и https портов, например:
sudo iptables -D  FORWARD -s 192.168.0.0/24 -p tcp -m multiport --ports 80,8080,443,110,25,21 -j ACCEPT
sudo iptables -A FORWARD -s 192.168.0.0/24 -p tcp -m multiport --ports 110,25,21 -j ACCEPT

26) Затем создать правило приема трафика по порту прослушки squid и правила переадресации входящих http запросов на этот порт:
sudo iptables -A INPUT -s 192.168.0.0/24 -p tcp -m multiport --ports 3128 -j ACCEPT
sudo iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128
-----

Для работы с https squid придется пересобрать: https://imbicile.pp.ru/ubuntu-16-04-prozrachnyj-squid-https/

27) Включаем в репозитории те, который начинаются с src: /etc/apt/sources.list

28) Обновляем информацию о репозиториях и ставим нужные для сборки пакеты:
apt-get update
apt-get install openssl devscripts build-essential dpkg-dev libssl-dev

29) Создаем директорию для сборки, переходим в нее (mkdir, cd) и качаем все что нужно:
apt-get build-dep squid3
chmod 777 squid3_3.5.12-1ubuntu7.2.dsc
apt-get source squid3

30) Настраиваем параметры сборки:
cd squid3-3.5.12
vim debian/rules
Дописываем опции:
--enable-ssl \
--enable-ssl-crtd \
--with-openssl \

31) Собираем пакет, ставим его устанавливая неразрешенные зависимости:
dpkg-buildpackage -d
cd ../
dpkg -i *.deb
apt-get install –f  
dpkg -i *.deb
squid –v

32) Создаем необходимые сертификаты:
cd /etc/squid/
openssl req -new -newkey rsa:1024 -days 365 -nodes -x509 -keyout squidCA.pem -out squidCA.pem

33) Создаем конфиг:
cp squid.conf squid.conf.bak
cat squid.conf.bak | grep -v "^#" | grep -v "^$" > squid.conf
Вписываем:
acl localnet src 192.168.0.0/24
http_access allow localnet
http_port 192.168.20.1:3128 intercept
https_port 192.168.20.1:3129 intercept ssl-bump cert=/etc/squid/squidCA.pem
ssl_bump peek all
ssl_bump splice all
sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB

34) Перезапускаем сквид:
squid -k parse
squid -k reconfigure

35) Перехватываем пакеты и разрешаем их:
sudo iptables -A INPUT -s 192.168.0.0/24 -p tcp -m multiport --ports 3129 -j ACCEPT
sudo iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dports 443 -j REDIRECT --to-ports 3128

100

101

102

103

104

105

106

107

108

109

110

111

112

113

114

115

116

117

118

119

120

121

122

123

124

125

126

127

128

129

130

131

132

133

134

135

136

137

138

139

140

141

142

143

144

145

146

147

148

149

150

151

152

153

154

155

156

157

158

159

160

161

162

163

164

165

166

167

168

169

170

171

172

173

174

175

176

177

178

179

180

181

182

183

184

185

186

187

188

189

190

191

192

193

194

195

196

197

198

199

200

201

202

203

0) Упер отсюда https://github.com/ksemaev/manuals/blob/master/Proxy%20and%20firewall%20on%20Ubuntu.md

1) Ставим нужные пакеты:

sudo apt-get install bind9 squid3

2) Разрешаем проброс пакетов между сетевыми интерфейсами указанием в файле /etc/sysctl.conf ключа net.ipv4.ip_forward=1

3) Для упрощения отключаем родной firewall (позже по желанию включим):

sudo ufw disable

4) Проверяем что по умолчанию в iptables все разрешено и нет никаких правил:

sudo iptables -L

5) Включаем политику блокировки по умолчанию всех входящих и проходящих пакетов (исходящие можем оставить в разрешенных):

sudo iptables -P INPUT DROP

sudo iptables -P FORWARD DROP

6) Можем разрешить входящий пинг и проверить его из локалки:

sudo iptables -A INPUT -p icmp -j ACCEPT

sudo iptables -A INPUT -p tcp -m tcp --dport 22 -j ACCEPT

7) Можем создать промежуточную резервную копию правил iptables:

sudo iptables-save > iptables.backup

8) Разрешаем входящие и проходящие пакеты в рамках уже существующих соединений:

sudo iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

sudo iptables -A FORWARD -m state --state RELATED,ESTABLISHED -j ACCEPT

9) Разрешаем пинг наружу, через хост firewall:

sudo iptables -A FORWARD -p icmp -j ACCEPT

10) Для того чтобы заработали пакеты, проходящие из локалки (у меня это 192.168.0.0/24) наружу нужно включить SNAT или,

что проще в данном случае, правило маскарада (замена адреса источника пакетов из локальной сети на внешний адрес хоста firewall):

sudo iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE

11) Можем попробовать сохранить правила iptables:

sudo apt install iptables-persistent

sudo service iptables-persistent save

12) Можно, для того чтобы можно было разрешать DNS –запросы, разрешить проходящий DNS трафик (он работает по TCP и UDP).

Если хочется использовать свой DNS сервер на этой же машине, то вместо это шага выполняется шаг № 17.

sudo iptables –A FORWARD –p tcp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

sudo iptables –A FORWARD –p udp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

13) Но чтобы два раза не вставать, лучше сделать сразу правило для всех необходимых протоколов.

Поэтому я удаляю правило с DNS для tcp

и создаю правило сразу для многих нужных протоколов (номера портов нужных протоколов можно легко нагуглить):

sudo iptables –D FORWARD –p tcp –m multiport --ports 53 –s 192.168.0.0/24 –j ACCEPT

sudo iptables –A FORWARD –p tcp –m multiport --ports 80,8080,110,5190,25,21,443 –s 192.168.0.0/24 –j ACCEPT

14) В качестве возможного варианта рассматриваем проброс портов вовнутрь сети, а именно:

если мы хотим из интернета (то есть стучась во внешнюю сетевую карту firewall, в моем случае это enp0s3) попадать на какой-то веб-сервер,

который находится в локальной сети по адресy 192.168.0.101 и прослушивает запросы по порту 80,

то нам нужно создать правило DNAT (проброс порта) и разрешить проходящие пакеты по порту 80:

sudo iptables –t nat -A PREROUTING -i enp0s3 -p tcp -m tcp --dport 80 -j DNAT --to-destination 192.168.0.101

sudo iptables -A FORWARD -i enp0s3 -p tcp --dport 80 -j ACCEPT

15) Если у нас есть еще один веб-сервер в локалке (у меня 192.168.0.102), который использует тот же 80 порт,

то нам нужно на firewall открыть какой-нибудь другой порт (у меня в примере 81)

и соединения к нему пробрасывать на нужный веб сервер по порту 80:

sudo iptables –t nat -A PREROUTING -i enp0s3 -p tcp -m tcp --dport 81 -j DNAT --to-destination 192.168.0.102:80

16) Можем попробовать сохранить правила командой:

sudo dpkg-reconfigure iptables-persistent

17) Для того чтобы самим разрешать DNS запросы на нашем сервере, нужно ему разрешить эти запросы прослушивать в iptables:

sudo iptables -A INPUT -p tcp -m multiport --ports 53 -s 192.168.0.0/24 -j ACCEPT

18) Также необходимо разрешить весь петлевой траффик, так как есть программы его использующие

(т.е. трафик не выходящий за пределы нашего сервера, но проходящий через сетевые интерфейсы):

sudo iptables -A INPUT -i lo -j ACCEPT

19) Сервер bind в данной конфигурации будет тупо перенаправлять все DNS-запросы через себя на указанный ему DNS-сервер.

Для этого в его конфиге нужно указать куда передавать трафик, по какому порту и сетевой карте слеушать запросы,

и (если мы не хотим чтоб он сам пытался разрешить запрос) указать ему сразу делать перенаправление запроса.

Все это осуществляется редактированием файла /etc/bind/named.conf.options:

forwarders { dns_server_ip; };

forward first;

Listen-on port 53 { lan_ipl; };

//dnssec-validation auto;

20) В текущей версии Ubuntu 16.04 управлять демоном bind пытается rndc, а ей для этого нужны ключи. Их можно создать командой:

sudo rndc-confgen -r /dev/urandom

Не закомментированную часть вывода следует отправить в файл /etc/bind/rndc.conf, а закомментированную в /etc/bind/named.conf

22) Теперь можно перезагрузить демон bind и проверить как сам сервер (и машины у которых он указан в качестве DNS) разрешают DNS запросы:

sudo service bind9 restart

nslookup ya.ru

-----------------

23) Проверяю версию squid командой /usr/sbin/squid -v и делаю резервную копию файла конфигурации:

sudo cp /etc/squid/squid.conf /etc/squid/squid.conf.backup

24) Файл конфигурации /etc/squid/squid.conf сильно отличается от версии к версии, но параметры в нем неизменны. В частности нам нужно указать:

локальную сеть:

acl localnet src 192.168.0.0/24

разрешить из нее доступ:

http_access allow localnet

http_access allow localhost

указать адрес локальной сетевой карты, порт и опцию прозрачности (в старых версиях она называется не intercept а transparent):

http_port 192.168.0.10:3128 intercept

25) Для применения настроек squid следует перезапустить:

sudo service squid restart

26) Теперь следует убрать из правил iptables страрое правило проброса http и https портов, например:

sudo iptables -D FORWARD -s 192.168.0.0/24 -p tcp -m multiport --ports 80,8080,443,110,25,21 -j ACCEPT

sudo iptables -A FORWARD -s 192.168.0.0/24 -p tcp -m multiport --ports 110,25,21 -j ACCEPT

26) Затем создать правило приема трафика по порту прослушки squid и правила переадресации входящих http запросов на этот порт:

sudo iptables -A INPUT -s 192.168.0.0/24 -p tcp -m multiport --ports 3128 -j ACCEPT

sudo iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dports 80,8080 -j REDIRECT --to-ports 3128

-----

Для работы с https squid придется пересобрать: https://imbicile.pp.ru/ubuntu-16-04-prozrachnyj-squid-https/

27) Включаем в репозитории те, который начинаются с src: /etc/apt/sources.list

28) Обновляем информацию о репозиториях и ставим нужные для сборки пакеты:

apt-get update

apt-get install openssl devscripts build-essential dpkg-dev libssl-dev

29) Создаем директорию для сборки, переходим в нее (mkdir, cd) и качаем все что нужно:

apt-get build-dep squid3

chmod 777 squid3_3.5.12-1ubuntu7.2.dsc

apt-get source squid3

30) Настраиваем параметры сборки:

cd squid3-3.5.12

vim debian/rules

Дописываем опции:

--enable-ssl \

--enable-ssl-crtd \

--with-openssl \

31) Собираем пакет, ставим его устанавливая неразрешенные зависимости:

dpkg-buildpackage -d

cd ../

dpkg -i *.deb

apt-get install –f

dpkg -i *.deb

squid –v

32) Создаем необходимые сертификаты:

cd /etc/squid/

openssl req -new -newkey rsa:1024 -days 365 -nodes -x509 -keyout squidCA.pem -out squidCA.pem

33) Создаем конфиг:

cp squid.conf squid.conf.bak

cat squid.conf.bak | grep -v "^#" | grep -v "^$" > squid.conf

Вписываем:

acl localnet src 192.168.0.0/24

http_access allow localnet

http_port 192.168.20.1:3128 intercept

https_port 192.168.20.1:3129 intercept ssl-bump cert=/etc/squid/squidCA.pem

ssl_bump peek all

ssl_bump splice all

sslcrtd_program /usr/lib/squid/ssl_crtd -s /var/lib/ssl_db -M 4MB

34) Перезапускаем сквид:

squid -k parse

squid -k reconfigure

35) Перехватываем пакеты и разрешаем их:

sudo iptables -A INPUT -s 192.168.0.0/24 -p tcp -m multiport --ports 3129 -j ACCEPT

sudo iptables -t nat -A PREROUTING -s 192.168.0.0/24 -p tcp -m multiport --dports 443 -j REDIRECT --to-ports 3128

squid

dante

Автор записи Автор: Evgeny Yakovlev
Дата записи 2017/10/14

Прокси серверы:

Преодоление текториальных ограничений 
Защита компьютера клиента от атак с наружи
Позволяет сохранить анонимность клиента путем подмены IP
Проксирование на уровне протоков HTTP, HTTPS
Проксирование на уровне L4 UDP, TCP  SOCKS4 и SOCKS5

SOCKS5 - допускает возможность UDP, есть аутентификация

Самый распространённый  SOCKS5 прокси сервер это Dante
apt search Dante
apt install dante-client - научит любое приложение ходить в прокси
apt install dante-serve - прокси сервер

Пока вырубим его 
systemctl disable danted
systemctl stop danted

Простой конфиг без авторизации 
vim /etc/danted.conf
--------------------
logoutput: stderr
internal: eth0 port = 1080
external: eth0 
socksmethod: none
user.privileged: proxy
user.unprivileged: nobody
user.libwrap: nobody
client pass {
       from: 0/0 to: 0/0
       log: connect error
}
socks pass {
      from: 0/0 to: 0/0
      log: connect error
}
--------------------
тут:
internal - входящий интерфейс
external - исходящий 
port - порт прокси
socksmethod - собственно нету авторизации 

Для авторизации изменить конфиг так:
socksmethod: username 
socks pass {
      from: 0/0 to: 0/0
      log: connect disconnect error ioop
      group: proxy
}

и создать пользователя
useradd --shell /usr/sbin/nologin proxy_user_01
passwd proxy_user_01
usermod -a -G proxy proxy_user_01

Преодоление текториальных ограничений

Защита компьютера клиента от атак с наружи

Позволяет сохранить анонимность клиента путем подмены IP

Проксирование на уровне протоков HTTP, HTTPS

Проксирование на уровне L4 UDP, TCP SOCKS4 и SOCKS5

SOCKS5 - допускает возможность UDP, есть аутентификация

Самый распространённый SOCKS5 прокси сервер это Dante

apt search Dante

apt install dante-client - научит любое приложение ходить в прокси

apt install dante-serve - прокси сервер

Пока вырубим его

systemctl disable danted

systemctl stop danted

Простой конфиг без авторизации

vim /etc/danted.conf

--------------------

logoutput: stderr

internal: eth0 port = 1080

external: eth0

socksmethod: none

user.privileged: proxy

user.unprivileged: nobody

user.libwrap: nobody

client pass {

from: 0/0 to: 0/0

log: connect error

}

socks pass {

from: 0/0 to: 0/0

log: connect error

}

--------------------

тут:

internal - входящий интерфейс

external - исходящий

port - порт прокси

socksmethod - собственно нету авторизации

Для авторизации изменить конфиг так:

socksmethod: username

socks pass {

from: 0/0 to: 0/0

log: connect disconnect error ioop

group: proxy

}

и создать пользователя

useradd --shell /usr/sbin/nologin proxy_user_01

passwd proxy_user_01

usermod -a -G proxy proxy_user_01

squid

Простой squid

Автор записи Автор: Evgeny Yakovlev
Дата записи 2017/10/14

Прокси squid

#Debian 12 install squid

Устанавливаем:
apt install squid

Сохраняем оригинальный конфиг squid:
cp /etc/squid/squid.conf /etc/squid/squid.conf.backup
( можно вот так вот обработать  cat squid.conf.bak | grep -v "^#" | grep -v "^$" > squid.conf  тем самым убрав комментарии) 

Приводим конфиг к такому виду:
cat > /etc/squid/squid.conf << "EOF"
acl localnet src 0.0.0.1-0.255.255.255  # RFC 1122 "this" network (LAN)
acl localnet src 10.0.0.0/8             # RFC 1918 local private network (LAN)
acl localnet src 100.64.0.0/10          # RFC 6598 shared address space (CGN)
acl localnet src 169.254.0.0/16         # RFC 3927 link-local (directly plugged) machines
acl localnet src 172.16.0.0/12          # RFC 1918 local private network (LAN)
acl localnet src 192.168.0.0/16         # RFC 1918 local private network (LAN)
acl localnet src fc00::/7               # RFC 4193 local private network range
acl localnet src fe80::/10              # RFC 4291 link-local (directly plugged) machines
acl SSL_ports port 443
acl Safe_ports port 80          # http
acl Safe_ports port 21          # ftp
acl Safe_ports port 443         # https
acl Safe_ports port 70          # gopher
acl Safe_ports port 210         # wais
acl Safe_ports port 1025-65535  # unregistered ports
acl Safe_ports port 280         # http-mgmt
acl Safe_ports port 488         # gss-http
acl Safe_ports port 591         # filemaker
acl Safe_ports port 777         # multiling http
acl CONNECT method CONNECT
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
http_access allow localhost manager
http_access deny manager
include /etc/squid/conf.d/*
http_access allow localhost
http_access deny all
http_port 3128
coredump_dir /var/spool/squid
refresh_pattern ^ftp:           1440    20%     10080
refresh_pattern ^gopher:        1440    0%      1440
refresh_pattern -i (/cgi-bin/|\?) 0     0%      0
refresh_pattern .               0       20%     4320
EOF

И этот конфиг приводим к такому виду:
cat > /etc/squid/conf.d/debian.conf << EOF
#
# Squid configuration settings for Debian
#

# Logs are managed by logrotate on Debian
logfile_rotate 0

# For extra security Debian packages only allow
# localhost to use the proxy on new installs
#
http_access allow localnet
EOF

Запускаем в зависимости от статуса: 
systemctl status squid
systemctl restart squid
systemctl start squid
systemctl enable squid

#Debian 12 install squid

Устанавливаем:

apt install squid

Сохраняем оригинальный конфиг squid:

cp /etc/squid/squid.conf /etc/squid/squid.conf.backup

( можно вот так вот обработать cat squid.conf.bak | grep -v "^#" | grep -v "^$" > squid.conf тем самым убрав комментарии)

Приводим конфиг к такому виду:

cat > /etc/squid/squid.conf << "EOF"

acl localnet src 0.0.0.1-0.255.255.255 # RFC 1122 "this" network (LAN)

acl localnet src 10.0.0.0/8 # RFC 1918 local private network (LAN)

acl localnet src 100.64.0.0/10 # RFC 6598 shared address space (CGN)

acl localnet src 169.254.0.0/16 # RFC 3927 link-local (directly plugged) machines

acl localnet src 172.16.0.0/12 # RFC 1918 local private network (LAN)

acl localnet src 192.168.0.0/16 # RFC 1918 local private network (LAN)

acl localnet src fc00::/7 # RFC 4193 local private network range

acl localnet src fe80::/10 # RFC 4291 link-local (directly plugged) machines

acl SSL_ports port 443

acl Safe_ports port 80 # http

acl Safe_ports port 21 # ftp

acl Safe_ports port 443 # https

acl Safe_ports port 70 # gopher

acl Safe_ports port 210 # wais

acl Safe_ports port 1025-65535 # unregistered ports

acl Safe_ports port 280 # http-mgmt

acl Safe_ports port 488 # gss-http

acl Safe_ports port 591 # filemaker

acl Safe_ports port 777 # multiling http

acl CONNECT method CONNECT

http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports

http_access allow localhost manager

http_access deny manager

include /etc/squid/conf.d/*

http_access allow localhost

http_access deny all

http_port 3128

coredump_dir /var/spool/squid

refresh_pattern ^ftp: 1440 20% 10080

refresh_pattern ^gopher: 1440 0% 1440

refresh_pattern -i (/cgi-bin/|\?) 0 0% 0

refresh_pattern . 0 20% 4320

EOF

И этот конфиг приводим к такому виду:

cat > /etc/squid/conf.d/debian.conf << EOF

# Squid configuration settings for Debian

# Logs are managed by logrotate on Debian

logfile_rotate 0

# For extra security Debian packages only allow

# localhost to use the proxy on new installs

http_access allow localnet

EOF

Запускаем в зависимости от статуса:

systemctl status squid

systemctl restart squid

systemctl start squid

systemctl enable squid

squid

Установка прокси сервера SQUID + SAMS2 в Ubuntu 10.10

Автор записи Автор: Evgeny Yakovlev
Дата записи 2016/01/27
Комментариев к записи Установка прокси сервера SQUID + SAMS2 в Ubuntu 10.10 нет

Одной из задач системного администратора есть обеспечение сетевой безопасности организации. 
Сетевая безопасность включает в себя целый комплекс действий, куда входит и контроль сетевого трафика 
и раздача прав на использование локальных ресурсов и доступа к интернет. 
Для раздачи прав на пользование ресурсами интернета используют прокси сервер. 
В Ubuntu эту роль выполняет прокси сервер SQUID.
В ранних версиях Ubuntu настройка SQUID выполнялась в консоли, в последних версиях Ubuntu разработан Web интерфейс SAMS. 
О том как установить и настроить связку SQUID + SAMS2 на ubuntu 10.10 и пойдет речь.

Итак посетив множество форумов и перечитав очень много инструкций, составил для вас и для себя инструкцию:
1. Устанавливаем собственно прокси сервер SQUID:
# sudo apt-get install squid

2. Устанавливаем apache:
Автоматически установятся все необходимые пакеты.
# sudo apt-get install apache2


3. Устанавливаем php5:
# sudo apt-get install php5 libapache2-mod-php5 php5-cli php5-common php5- mysql php5-gd

4. Устанавливаем mysql:
# sudo apt-get install mysql-server-5.1 mysql-client-5.1 libmysqlclient15off

Если libmysqlclient15off не установился, скачиваем:
libmysqlclient15off_i386.deb
libmysqlclient15off_amd64.deb

5. Устанавливаем libpcre3:
# sudo apt-get install libpcre3

6. Ставим sams2, sams2web и sams2doc:
sams2_2.0.0-b2_i386.deb
sams2_2.0.0-b2_amd64.deb
sams2-web_2.0.0-b2_all.deb
sams2-doc_2.0.0-b2_all.deb
Дополнительно выбираем установку squidguard.

7. Создаем БД:
# mysql -u root -p
# GRANT ALL ON squidctrl.* TO sams@localhost IDENTIFIED BY "yourpassword";
# GRANT ALL ON squidlog.* TO sams@localhost IDENTIFIED BY "yourpassword";
# exit
Где: yourpassword - пароль

После этого имя пользователя и пароль надо вписать в файл конфигурации SAMS - /etc/sams2.conf
# sudo gedit /etc/sams2.conf

; Username for database connection
DB_USER=root  - Имя пользователя MySQL, от имени которого будет работать SAMS.    
; Password for database connection
DB_PASSWORD="yourpassword" - Пароль пользователя в MySQL.

8. Включаем sams2:
# sudo gedit /etc/init.d/sams2
Изменяем значение параметра SAMS_ENABLE = FALSE на SAMS_ENABLE = TRUE

9. Настраиваем php.ini:
# sudo gedit /etc/php5/apache2/php.ini
В текущей версии SAMS научился работать с PHP в режиме safe_mode=On.
Но это требует дополнительной настройки конфигурации.Для этого редактируем файл конфигурации php.ini  и включаем режим safe mode.
Для этого выставляем параметр safe_mode = On (Однако если вы работаете с CMS например с Joomla, то включение этого параметра запретит вм устанавливать обновления в Joomla. 
Будьте внимательны!)

SAMS для некоторых функций WEB интерфейса использует системные команды, например wbinfo. 
В режиме safe_mode php блокирует доступ к системным командам. 
Php позволяет выполнять системные команды, расположенные в каталоге, заданном параметром safe_mode_exec_dir.

Изменяем этот параметр:
safe_mode_exec_dir = "/usr/share/sams2/bin".

Далее разрешаем исполнение системных скриптов из кода php. Ищем в файле конфигурации параметр и убираем из него запрет вызова функций phpinfo system shell_exec exec:
disable_functions = "chdir,dl,ini_get_all,popen,proc_open,passthru,pcntl_exec"
Все. PHP готов к работе.

10. Перезагружаемся

11. Открываем права на запись в папку /usr/share/sams2:
Под рутом выполняем команду:
# chmod -R 777 /usr/share/sams2


12. Запускаем Web интерфейс:
Идем в браузер и пишем localhost/sams2 — мы должны увидеть примерно такое окно:
Web окно управления SAMS прокси-сервером Squid 
Далее в настройках можно поставить Русский язык и приступить к настройке Прокси сервера.

Одной из задач системного администратора есть обеспечение сетевой безопасности организации.

Сетевая безопасность включает в себя целый комплекс действий, куда входит и контроль сетевого трафика

и раздача прав на использование локальных ресурсов и доступа к интернет.

Для раздачи прав на пользование ресурсами интернета используют прокси сервер.

В Ubuntu эту роль выполняет прокси сервер SQUID.

В ранних версиях Ubuntu настройка SQUID выполнялась в консоли, в последних версиях Ubuntu разработан Web интерфейс SAMS.

О том как установить и настроить связку SQUID + SAMS2 на ubuntu 10.10 и пойдет речь.

Итак посетив множество форумов и перечитав очень много инструкций, составил для вас и для себя инструкцию:

1. Устанавливаем собственно прокси сервер SQUID:

# sudo apt-get install squid

2. Устанавливаем apache:

Автоматически установятся все необходимые пакеты.

# sudo apt-get install apache2

3. Устанавливаем php5:

# sudo apt-get install php5 libapache2-mod-php5 php5-cli php5-common php5- mysql php5-gd

4. Устанавливаем mysql:

# sudo apt-get install mysql-server-5.1 mysql-client-5.1 libmysqlclient15off

Если libmysqlclient15off не установился, скачиваем:

libmysqlclient15off_i386.deb

libmysqlclient15off_amd64.deb

5. Устанавливаем libpcre3:

# sudo apt-get install libpcre3

6. Ставим sams2, sams2web и sams2doc:

sams2_2.0.0-b2_i386.deb

sams2_2.0.0-b2_amd64.deb

sams2-web_2.0.0-b2_all.deb

sams2-doc_2.0.0-b2_all.deb

Дополнительно выбираем установку squidguard.

7. Создаем БД:

# mysql -u root -p

# GRANT ALL ON squidctrl.* TO sams@localhost IDENTIFIED BY "yourpassword";

# GRANT ALL ON squidlog.* TO sams@localhost IDENTIFIED BY "yourpassword";

# exit

Где: yourpassword - пароль

После этого имя пользователя и пароль надо вписать в файл конфигурации SAMS - /etc/sams2.conf

# sudo gedit /etc/sams2.conf

; Username for database connection

DB_USER=root - Имя пользователя MySQL, от имени которого будет работать SAMS.

; Password for database connection

DB_PASSWORD="yourpassword" - Пароль пользователя в MySQL.

8. Включаем sams2:

# sudo gedit /etc/init.d/sams2

Изменяем значение параметра SAMS_ENABLE = FALSE на SAMS_ENABLE = TRUE

9. Настраиваем php.ini:

# sudo gedit /etc/php5/apache2/php.ini

В текущей версии SAMS научился работать с PHP в режиме safe_mode=On.

Но это требует дополнительной настройки конфигурации.Для этого редактируем файл конфигурации php.ini и включаем режим safe mode.

Для этого выставляем параметр safe_mode = On (Однако если вы работаете с CMS например с Joomla, то включение этого параметра запретит вм устанавливать обновления в Joomla.

Будьте внимательны!)

SAMS для некоторых функций WEB интерфейса использует системные команды, например wbinfo.

В режиме safe_mode php блокирует доступ к системным командам.

Php позволяет выполнять системные команды, расположенные в каталоге, заданном параметром safe_mode_exec_dir.

Изменяем этот параметр:

safe_mode_exec_dir = "/usr/share/sams2/bin".

Далее разрешаем исполнение системных скриптов из кода php. Ищем в файле конфигурации параметр и убираем из него запрет вызова функций phpinfo system shell_exec exec:

disable_functions = "chdir,dl,ini_get_all,popen,proc_open,passthru,pcntl_exec"

Все. PHP готов к работе.

10. Перезагружаемся

11. Открываем права на запись в папку /usr/share/sams2:

Под рутом выполняем команду:

# chmod -R 777 /usr/share/sams2

12. Запускаем Web интерфейс:

Идем в браузер и пишем localhost/sams2 — мы должны увидеть примерно такое окно:

Web окно управления SAMS прокси-сервером Squid

Далее в настройках можно поставить Русский язык и приступить к настройке Прокси сервера.

squid

dante-server \ socks5 \ debian \ ubuntu

Автор записи Автор: Evgeny Yakovlev
Дата записи 2015/12/17

0. Разрешаем подключаться к порту сервера:
sudo ufw allow proto tcp from any to any port 99800

1. Ставим сервер:
aptitude install dante-server

2. Сервер попытается запуститься и упадет, так и задумано, меняем конфиг:
sudo vim /etc/danted.conf
logoutput: stdout
internal: eth0 port = 99800
external: eth0

socksmethod: username 

user.privileged: root
user.unprivileged: nobody
user.libwrap: nobody

client pass {
        from: 0.0.0.0/0 to: 0.0.0.0/0
        log: connect disconnect error
}

socks pass {
        from: 0.0.0.0/0 to: 0.0.0.0/0
        log: connect disconnect error
}

3. Интерфейс можно подсмотреть через ip addr

4. Далее создаем пользователя без оболочки (нельзя подключиться через ssh).
Вместо имени использовать можно парольную фразу, только без спецсимволов.
adduser --shell=/sbin/nologin bob
Используя логин и пароль этого пользователя можно подключаться к серверу.

5. Тестируем:
curl -v -x 'socks5://bob:password@99.99.99.99:99800' http://www.google.com/

0. Разрешаем подключаться к порту сервера:

sudo ufw allow proto tcp from any to any port 99800

1. Ставим сервер:

aptitude install dante-server

2. Сервер попытается запуститься и упадет, так и задумано, меняем конфиг:

sudo vim /etc/danted.conf

logoutput: stdout

internal: eth0 port = 99800

external: eth0

socksmethod: username

user.privileged: root

user.unprivileged: nobody

user.libwrap: nobody

client pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

log: connect disconnect error

}

socks pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

log: connect disconnect error

}

3. Интерфейс можно подсмотреть через ip addr

4. Далее создаем пользователя без оболочки (нельзя подключиться через ssh).

Вместо имени использовать можно парольную фразу, только без спецсимволов.

adduser --shell=/sbin/nologin bob

Используя логин и пароль этого пользователя можно подключаться к серверу.

5. Тестируем:

curl -v -x 'socks5://bob:password@99.99.99.99:99800' http://www.google.com/

Пример создания демона systemd:

[Unit]
Description=ss5
After=network.target

[Service]
Type=notify
ExecStart=/usr/bin/bash -c '/opt/ss5/ss5-3.8.9/src/ss5 -u ss5 -b 0.0.0.0:1080'
ExecReload=/bin/kill -HUP $MAINPID
KillMode=process


[Install]
WantedBy=multi-user.target

[Unit]

Description=ss5

After=network.target

[Service]

Type=notify

ExecStart=/usr/bin/bash -c '/opt/ss5/ss5-3.8.9/src/ss5 -u ss5 -b 0.0.0.0:1080'

ExecReload=/bin/kill -HUP $MAINPID

KillMode=process

[Install]

WantedBy=multi-user.target

added 2022.01.21
Dante docker

docker pull dijedodol/simple-socks5-server
docker run -it --rm -p 1080:1080 -e 'SSS_USERNAME=your_username' -e 'SSS_PASSWORD=your_password' dijedodol/simple-socks5-server

1 2	docker pull dijedodol/simple-socks5-server docker run -it --rm -p 1080:1080 -e 'SSS_USERNAME=your_username' -e 'SSS_PASSWORD=your_password' dijedodol/simple-socks5-server

Dante свой велосипед на debian \ ubuntu

0. Ставим пакеты:
apt-get update
apt-get upgrade
apt-get install build-essential libwrap0-dev libpam0g-dev libkrb5-dev libsasl2-dev
apt-get install libwrap0 libwrap0-dev
apt-get install gcc make
apt-get install cron

1. Качаем dante
cd /opt
wget https://www.inet.no/dante/files/dante-1.4.1.tar.gz
tar -xvf dante-1.4.1.tar.gz
cd dante-1.4.1

2. Ставим
mkdir /home/dante
./configure --prefix=/home/dante
make
make install

3. Создаем конфиг
vim  /home/dante/danted.conf
----------------------------
logoutput: syslog /var/log/danted.log
internal: eth0 port = 1080
external: eth0
 
socksmethod: username
user.privileged: root
user.unprivileged: nobody
 
client pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    log: error
}
 
socks pass {
    from: 0.0.0.0/0 to: 0.0.0.0/0
    command: connect
    log: error
    method: username
}
----------------------------

4. Пример настройки автозапуска (Лучше рассмотреть запуск через systemd)
# нам нужно удостовериться, что сервис запустится при перезагрузке
crontab -e
# вставьте в crontab
SHELL=/bin/sh
PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin
MAILTO=your_email@some_mail.com
# запуск сервера как демона
/home/dante/sbin/sockd -f /home/dante/danted.conf -D

5.  Создаем пользователя для socks proxy
sudo useradd --shell /usr/sbin/nologin -m sockduser && sudo passwd sockduser


6. Пример простого firewall ufw на ubuntu (В принципе можно настроить iptables)
# - Инструкция - # https://wiki.dieg.info/socks
sudo apt install ufw
sudo ufw status
sudo ufw allow ssh
sudo ufw allow proto tcp from any to any port 1080
sudo ufw status numbered
sudo ufw enable

0. Ставим пакеты:

apt-get update

apt-get upgrade

apt-get install build-essential libwrap0-dev libpam0g-dev libkrb5-dev libsasl2-dev

apt-get install libwrap0 libwrap0-dev

apt-get install gcc make

apt-get install cron

1. Качаем dante

cd /opt

wget https://www.inet.no/dante/files/dante-1.4.1.tar.gz

tar -xvf dante-1.4.1.tar.gz

cd dante-1.4.1

2. Ставим

mkdir /home/dante

./configure --prefix=/home/dante

make

make install

3. Создаем конфиг

vim /home/dante/danted.conf

----------------------------

logoutput: syslog /var/log/danted.log

internal: eth0 port = 1080

external: eth0

socksmethod: username

user.privileged: root

user.unprivileged: nobody

client pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

log: error

}

socks pass {

from: 0.0.0.0/0 to: 0.0.0.0/0

command: connect

log: error

method: username

}

----------------------------

4. Пример настройки автозапуска (Лучше рассмотреть запуск через systemd)

# нам нужно удостовериться, что сервис запустится при перезагрузке

crontab -e

# вставьте в crontab

SHELL=/bin/sh

PATH=/usr/local/sbin:/usr/local/bin:/sbin:/bin:/usr/sbin:/usr/bin

MAILTO=your_email@some_mail.com

# запуск сервера как демона

/home/dante/sbin/sockd -f /home/dante/danted.conf -D

5. Создаем пользователя для socks proxy

sudo useradd --shell /usr/sbin/nologin -m sockduser && sudo passwd sockduser

6. Пример простого firewall ufw на ubuntu (В принципе можно настроить iptables)

# - Инструкция - # https://wiki.dieg.info/socks

sudo apt install ufw

sudo ufw status

sudo ufw allow ssh

sudo ufw allow proto tcp from any to any port 1080

sudo ufw status numbered

sudo ufw enable

squid

SQUID + Mikrotik + SARG (Прозрачный прокси)

Автор записи Автор: Evgeny Yakovlev
Дата записи 2014/01/15

Настройка:

192.168.13.31 GW internet
10.10.15.10 GW LAN 
10.10.15.50 SQUID proxy
10.10.15.0/24 LAN

Создать на Микротик
ip firewall address-list add address=10.10.15.10-10.10.15.40 list=Proxy_Clients
ip firewall mangle add action=mark-routing chain=prerouting dst-port=80 new-routing-mark=to_proxy protocol=tcp src-address-list=Proxy_Clients
ip firewall nat add action=src-nat chain=srcnat comment=nat out-interface=wan routing-mark=!to_proxy to-addresses=192.168.13.31
ip route add distance=1 gateway=10.10.15.50 routing-mark=to_proxy

Создать на машине где SQUID
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 10.10.15.50:3128  

Минимальная настройка SQUID
nano /etc/squid/squid.conf
http_port 3128 transparent
acl all src all
acl lan src 10.10.15.0/24 127.0.0.0/8
http_access allow lan

Минимальная настройка SARG
nano /etc/sarg/sarg.conf
найти и отредактировать
graphs yes
graph_days_bytes_bar_color orange
output_dir /var/www/squid-reports
charset UTF-8

192.168.13.31 GW internet

10.10.15.10 GW LAN

10.10.15.50 SQUID proxy

10.10.15.0/24 LAN

Создать на Микротик

ip firewall address-list add address=10.10.15.10-10.10.15.40 list=Proxy_Clients

ip firewall mangle add action=mark-routing chain=prerouting dst-port=80 new-routing-mark=to_proxy protocol=tcp src-address-list=Proxy_Clients

ip firewall nat add action=src-nat chain=srcnat comment=nat out-interface=wan routing-mark=!to_proxy to-addresses=192.168.13.31

ip route add distance=1 gateway=10.10.15.50 routing-mark=to_proxy

Создать на машине где SQUID

iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to 10.10.15.50:3128

Минимальная настройка SQUID

nano /etc/squid/squid.conf

http_port 3128 transparent

acl all src all

acl lan src 10.10.15.0/24 127.0.0.0/8

http_access allow lan

Минимальная настройка SARG

nano /etc/sarg/sarg.conf

найти и отредактировать

graphs yes

graph_days_bytes_bar_color orange

output_dir /var/www/squid-reports

charset UTF-8

squid

SQUID SARG reports

Автор записи Автор: Evgeny Yakovlev
Дата записи 2014/01/15

Sarg (Squid Analysis Report Generator – Генератор Аналитических Отчётов Squid)
доступен на нескольких языках, а на русском аж в трёх кодировках: koi-8, UTF-8, windows-1251

0. apt-get install sarg

1.nano /etc/sarg/sarg.conf
access_log /var/log/squid/access.log
graphs yes
graph_days_bytes_bar_color orange
title "Squid User Access Reports"
font_face Tahoma,Verdana,Arial
header_color darkblue
header_bgcolor blanchedalmond
font_size 9px
background_color white
text_color #000000
text_bgcolor lavender
title_color green
temporary_dir /tmp
output_dir /var/www/squid-reports
resolve_ip
user_ip no
topuser_sort_field BYTES reverse
user_sort_field BYTES reverse
exclude_users /etc/sarg/exclude_users
exclude_hosts /etc/sarg/exclude_hosts
date_format u
lastlog 0
remove_temp_files yes
index yes
index_tree file
overwrite_report yes
records_without_userid ip
use_comma yes
mail_utility mailx
topsites_num 100
topsites_sort_order CONNECT D
index_sort_order D
exclude_codes /etc/sarg/exclude_codes
max_elapsed 28800000
report_type topusers topsites sites_users users_sites date_time denied auth_failures site_user_time_date downloads
usertab /etc/sarg/usertab
long_url no
date_time_by bytes
charset UTF-8
show_read_statistics no
topuser_fields NUM DATE_TIME USERID CONNECT BYTES %BYTES IN-CACHE-OUT USED_TIME MILISEC %TIME TOTAL AVERAGE
user_report_fields CONNECT BYTES %BYTES IN-CACHE-OUT USED_TIME MILISEC %TIME TOTAL AVERAGE
topuser_num 0
download_suffix "zip,arj,bzip,gz,ace,doc,iso,adt,bin,cab,com,dot,drv$,lha,lzh,mdb,mso,ppt,rtf,src,shs,sys,exe,dll,mp3,avi,mpg,mpeg"

2. crontab -e 
*/5 * * * * /usr/bin/sarg каждые 5 минут запускать sarg

3. http://you_ip/squid-reports

0. apt-get install sarg

1.nano /etc/sarg/sarg.conf

access_log /var/log/squid/access.log

graphs yes

graph_days_bytes_bar_color orange

title "Squid User Access Reports"

font_face Tahoma,Verdana,Arial

header_color darkblue

header_bgcolor blanchedalmond

font_size 9px

background_color white

text_color #000000

text_bgcolor lavender

title_color green

temporary_dir /tmp

output_dir /var/www/squid-reports

resolve_ip

user_ip no

topuser_sort_field BYTES reverse

user_sort_field BYTES reverse

exclude_users /etc/sarg/exclude_users

exclude_hosts /etc/sarg/exclude_hosts

date_format u

lastlog 0

remove_temp_files yes

index yes

index_tree file

overwrite_report yes

records_without_userid ip

use_comma yes

mail_utility mailx

topsites_num 100

topsites_sort_order CONNECT D

index_sort_order D

exclude_codes /etc/sarg/exclude_codes

max_elapsed 28800000

report_type topusers topsites sites_users users_sites date_time denied auth_failures site_user_time_date downloads

usertab /etc/sarg/usertab

long_url no

date_time_by bytes

charset UTF-8

show_read_statistics no

topuser_fields NUM DATE_TIME USERID CONNECT BYTES %BYTES IN-CACHE-OUT USED_TIME MILISEC %TIME TOTAL AVERAGE

user_report_fields CONNECT BYTES %BYTES IN-CACHE-OUT USED_TIME MILISEC %TIME TOTAL AVERAGE

topuser_num 0

download_suffix "zip,arj,bzip,gz,ace,doc,iso,adt,bin,cab,com,dot,drv$,lha,lzh,mdb,mso,ppt,rtf,src,shs,sys,exe,dll,mp3,avi,mpg,mpeg"

2. crontab -e

*/5 * * * * /usr/bin/sarg каждые 5 минут запускать sarg

3. http://you_ip/squid-reports

squid

SQUID Минимальная настройка

Автор записи Автор: Evgeny Yakovlev
Дата записи 2014/01/15

Минимальная настройка SQUID
nano /etc/squid/squid.conf
http_port 3128 transparent
acl all src all
acl lan src 10.10.15.0/24 127.0.0.0/8
http_access allow lan

Минимальная настройка SQUID

nano /etc/squid/squid.conf

http_port 3128 transparent

acl all src all

acl lan src 10.10.15.0/24 127.0.0.0/8

http_access allow lan