Controlar el acceso a páginas https desde Squid

<div style="text-align: justify;">Ya os conté cómo es posible filtrar por usuario y/o por grupos en un <a href="http://enavas.blogspot.com.es/2013/11/filtrar-por-usuario-mediante-squid-ldap.html">post anterior</a>: <a href="http://enavas.blogspot.com.es/2013/11/filtrar-por-usuario-mediante-squid-ldap.html">http://enavas.blogspot.com.es/2013/11/filtrar-por-usuario-mediante-squid-ldap.html</a>, utilizando squid en modo <b>no transparente</b>, algo que os recomiendo porque, aunque es cierto que puede darnos un poco más de trabajo a la hora de implementarlo, debido a que requiere configurar el uso explícito del proxy en el navegador, nos va a aportar un mayor nivel de control sobre las reglas de filtrado.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">En este post os voy a explicar cómo controlar el acceso a páginas https como facebook, twitter, etc.. vía https y para corroborar lo que os digo, os mostraré cómo podemos hacer un control selectivo dependiendo del grupo al que pertenezca un usuario, basándome en la configuración realizada en el post mencionado anteriormente.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Supongamos que tengo configurado mi servidor con un filtrado selectivo mediante squid y ldap y en el fichero de configuración <b>/etc/squid/squid.conf</b> tengo dos ACL:</div><pre class="source-code"><code># ACL para establecer reglas de filtrado para el grupo teachers<br />acl profesores external group_auth teachers<br /><br /># ACL para establecer reglas de filtrado para el grupo students<br />acl alumnos external group_auth students<br /></code></pre><div style="text-align: justify;"><br />Supongamos que quiero controlar el acceso vía https a páginas como facebook, twitter y youtube. Para ello podría crear una acl por cada dominio:<br /><pre class="source-code"><code># ACL para gestionar facebook<br />acl facebook dstdomain .facebook.com<br /><br /># ACL para gestionar twitter<br />acl twitter dstdomain .twitter.com<br /><br /># ACL para gestionar youtube<br />acl youtube dstdomain .youtube.com<br /></code></pre><div><br />Y crear reglas de filtrado para permitir el acceso del grupo <b>profesores</b> a estos tres dominios y denegárselo al grupo <b>alumnos:</b></div></div># Permitir facebook a profesores y denegárselo a alumnos<br /><pre class="source-code"><code>http_access allow CONNECT facebook profesores<br />http_access deny CONNECT facebook alumnos<br /><br /># Permitir twitter a profesores y denegárselo a alumnos<br />http_access allow CONNECT twitter profesores<br />http_access deny CONNECT twitter alumnos<br /><br /># Denegar youtube a profesores y denegárselo a alumnos<br />http_access allow CONNECT youtube profesores<br />http_access deny CONNECT youtube alumnos</code></pre><br /><div><div style="text-align: justify;">Una vez añadidas las reglas al fichero de configuración, haríamos que squid lo re-lea:</div><br /></div><b><span style="font-family: Courier New, Courier, monospace;"># service squid reload</span></b><br /><br /><div style="text-align: justify;">Así de fácil. Ahora bien, en lugar de crear una acl y una regla de filtrado para cada web con acceso https que necesite filtrar, podríamos almacenar los dominios a restringir en un fichero y cambiar las reglas de filtrado anteriores por las siguientes:</div><pre class="source-code"><code><br /># Lista de dominios https restringidos<br />acl deny_https url_regex "/etc/squid/acl/deny_https"<br /><br /># Controlar el acceso a webs https específicas<br />http_access allow CONNECT deny_https profesores<br />http_access deny CONNECT deny_https alumnos<br /></code></pre><br /><div style="text-align: justify;">De este modo, cuando queramos filtrar el acceso a una nueva web vía https, tan sólo tendremos que añadir el dominio al archivo <b>/etc/squid/acl/deny_https</b>.</div><br /><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Controlar el acceso a páginas https desde Squid

Ya os conté cómo es posible filtrar por usuario y/o por grupos en un post anterior :  http://enavas.blogspot.com.es/2013/11/filtrar-por-usua...

Leer más »

Establecer un proxy en Firefox/Iceweasel

<div style="color: #222222; font-family: Arial, Tahoma, Helvetica, FreeSans, sans-serif; font-size: 13px; line-height: 1.4; text-align: justify;">Si queréis configurar Firefox para que use vuestro proxy a la hora de salir a internet, no tenéis que crear un fichero de políticas, como ya vimos en el post <b><a href="http://enavas.blogspot.com.es/2013/11/definir-politicas-en-firefoxiceweasel.html">http://enavas.blogspot.com.es/2013/11/definir-politicas-en-firefoxiceweasel.html</a></b> y añadir las siguientes directivas al fichero de configuración:</div><br /><b>// Forzar el uso de proxies </b><br /><b>lockPref("network.proxy.type", 1); </b><br /><b>lockPref("network.proxy.http", "172.19.144.3"); </b><br /><b>lockPref("network.proxy.http_port", 3128); </b><br /><br />Con las tres directivas anteriores le estamos indicando a Firefox el proxy http que debe usar: 172.19.144.3 y el puerto del mismo: 3128.  Además, como estoy definiendo las directivas con lockPref, el usuario no podrá cambiarlas.<br /><br />Si en lugar de obligar a usar un proxy, quiero desactivar el uso de proxies, y que se use la configuración por defecto que exista en la red, cambiaré las directivas anteriores por la siguiente:<br /><br /><b>// Desactivar el uso de proxies </b><br /><b>// lockPref("network.proxy.type", 0);</b><br /><br /><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Establecer un proxy en Firefox/Iceweasel

Si queréis configurar Firefox para que use vuestro proxy a la hora de salir a internet, no tenéis que crear un fichero de políticas, como ya...

Leer más »

Filtrar por usuario mediante squid + ldap

<div style="text-align: justify;">Lo más habitual es que utilicemos <b>Squid</b> en modo <b>transparente</b> para filtrar tráfico en nuestra organización y  supongo que se debe a que es la opción que menos trabajo da porque no nos obliga a configurar cada navegador de cada equipo para usar nuestro proxy. No obstante, en ocasiones puede ser muy interesante filtrar en modo <b>no transparente</b> o, si no tenemos posibilidad de cambiarlo todo, usar ambos mecanismos.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Así que, si pensáis en que queréis o necesitáis <b>filtrar por usuario</b>, es imprescindible que éste acceda a internet en modo<b> no transparente</b>. De otro modo, el filtrado por usuario no va a funcionar. ¿Y qué implica ésto? <b>Que el usuario deberá introducir su login y su password cada vez que abra el navegador</b>. Y os dirán que es muy incómodo tener que teclearlo una y otra vez. Bueno, pues les decís que dejen que el navegador guarde los datos de acceso.<br /><br /><span style="font-family: Courier New, Courier, monospace;"><b><u>Autenticación externa</u>.- </b></span><br />Para lograr que squid filtre por usuario vamos a utilizar un programa de autenticación externo. Si queréis, podéis escribir vuestro propio programa/script de autenticación externo, pero no os preocupéis porque squid ya nos proporciona unos cuantos.<br /><br />En Debian, encontraréis los programas de autenticación externos que squid nos proporciona en el directorio <b>/usr/lib/squid/</b>. Como nuestra autenticación está basada en ldap, de todos los programas que hay, usaremos dos:<br /><ul><li><b>ldap_auth</b>: Para validar usuarios.</li><li><b>squid_ldap_group</b>: Para validar grupos.</li></ul></div><b><u><span style="font-family: Courier New, Courier, monospace;"><br /></span></u></b><b><u><span style="font-family: Courier New, Courier, monospace;">Validación de usuarios</span></u></b>.-<br /><div style="text-align: justify;">Antes de configurar squid, lo mejor que podemos hacer es utilizar el programa de autenticación externa desde un terminal para comprobar que funcionan las consultas que el programa va a realizar al servidor ldap. Veamos cómo:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Suponiendo que el nombre de nuestro servidor es "<b>ldap</b>", la base del árbol ldap donde se encuentran los usuarios es "<b>ou=People,dc=instituto,dc=extremadura,dc=es</b>" y utilizamos la versión 3 del protocolo LDAP, abrimos un terminal y ejecutamos el programa:</div><pre class="source-code"><code><br /><div style="text-align: left;"><br /><b><span style="font-family: inherit;"># /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</span></b></div><br /></code></pre><br />Al ejecutarlo, el programa quedará esperando a que introduzcamos un usuario y su contraseña, separados por un espacio en blanco.<br /><br />Si introducimos un usuario y un password válidos en ldap, nos devolverá <b>OK</b>:<br /><pre class="source-code"><code><br /><b>root@ldap:~# /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</b><br /><br /><b>profesor claveprofesor</b><br /><br /><b>OK</b><br /></code></pre><br /><div>Si introducimos un usuario que no existe o el password introducido no es válido en ldap, nos devolverá <b>ERR Success</b>:<br /><pre class="source-code"><code><br /><b>root@ldap:~# /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3</b><br /><br /><b>profesor claveerronea</b><br /><br /><b>ERR Success</b><br /></code></pre></div><div><br /></div>Cuando terminemos de hacer comprobaciones, pulsamos Ctrl+C y saldremos del programa.<br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Validación de grupos</span></u></b>.-<br /><div style="text-align: justify;">Además de establecer un control por usuario, puede que nos interese realizar también un control por grupos,  para establecer reglas en squid que controlen el acceso a los contenidos en función del grupo al que pertenece el usuario.<br />Al igual que en el caso anterior, lo mejor que podemos hacer es utilizar el programa de autenticación externa desde un terminal para comprobar que funcionan las consultas que el programa va a realizar al servidor ldap. Veamos cómo:</div><br /><div style="text-align: justify;">Suponiendo que el nombre de nuestro servidor es "<b>ldap</b>", la base del árbol ldap donde se encuentran los grupos es "<b>ou=Group,dc=instituto,dc=extremadura,dc=es</b>" y utilizamos la versión 3 del protocolo LDAP, abrimos un terminal y ejecutamos el programa:</div><pre class="source-code"><code><br /><div><br /><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b></div><br /></code></pre><div style="text-align: justify;"><br />Como podéis ver, con el parámetro <b>-f</b>, indicamos el filtro para comprobar que un usuario es miembro de un grupo. Al ejecutarlo, el programa quedará esperando a que introduzcamos un usuario y un grupo, separados por un espacio en blanco.</div><br />Si introducimos un usuario y un grupo al que pertenece el usuario, nos devolverá <b>OK</b>:<br /><br /><pre class="source-code"><code><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub<br /></b><br /><b>ponente teachers</b><br /><b>OK</b><br /></code></pre><br />Si introducimos un usuario que no existe o existe pero no pertenece al grupo introducido, nos devolverá <b>ERR</b>:<br /><br /><pre class="source-code"><code><b># /usr/lib/squid/squid_ldap_group -h ldap -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectClass=posixGroup)(cn=%a)(memberuid=%v))" -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b><br /><br /><b>ponente students</b><br /><br /><b>ERR</b><br /></code></pre><br />Cuando terminemos de hacer comprobaciones, pulsamos Ctrl+C y saldremos del programa.<br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para autenticar usuarios</span></u></b>.-<br /><div style="text-align: justify;">Bien, pues una vez que hemos visto cuáles son los programas de autenticación de usuarios y grupos mediante ldap que squid nos proporciona, ahora vamos a ver cómo configurar squid para autenticar usuarios.<br /><br />Lo primero que haremos será editar el fichero /etc/squid/squid.conf:<br /><br /><pre class="source-code"><code><b># nano /etc/squid/squid.conf</b><br /></code></pre><br />Una vez abierto, buscamos el <b>TAG: auth_param.</b> Si no lo tenéis porque habéis quitado los comentarios de este fichero, buscadlo en el archivo squid.conf original, que viene completamente comentado, para saber en qué parte del squid.conf debéis insertar las siguientes líneas y las insertamos al final de la sección TAG: auth_param: <br /><pre class="source-code"><code><b><br />auth_param basic program /usr/lib/squid/ldap_auth -h ldap -b "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3<br />auth_param basic children 5<br /></b></code></pre><br />Como podéis ver, básicamente estamos definiendo el programa que vamos a usar como autenticador y es el mismo que habíamos comprobado que funcionaba desde la línea de comandos.<br /><br />A continuación nos vamos a la sección del documento donde se definen las ACL. Para ello buscamos el <b>TAG: acl,</b> nos desplazamos al final de esta sección e insertamos la siguiente línea:<br /><br /><pre class="source-code"><code><b># acl ldapauth proxy_auth REQUIRED</b><br /></code></pre><div><code><b><br /></b></code></div>Por último, buscamos el <b>TAG: http_access</b> e insertamos una línea como la siguiente:<br /><br /><pre class="source-code"><code><b># http_access allow ldapauth</b></code></pre><br />Esta vez no insertamos la línea al final de la sección. Tendremos que insertarla en el lugar que corresponda de acuerdo con las otras reglas que tengamos establecidas.<br /><br />Una vez hecho ésto, reiniciamos squid para aplicar los cambios y listo:<br /><br /><pre class="source-code"><code><b># service squid restart</b></code></pre></div><br /><div style="-webkit-text-stroke-width: 0px; color: black; font-family: 'Times New Roman'; font-size: medium; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; margin: 0px; orphans: auto; text-align: start; text-indent: 0px; text-transform: none; white-space: normal; widows: auto; word-spacing: 0px;"><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para restringir algunos usuarios</span></u></b>.-</div>Por otra parte, en la sección donde se definen las ACL podríamos definir una nueva como la siguiente:<br /><br /><pre class="source-code" style="text-align: justify;"><code><b># acl usuariosrestringidos proxy_auth "/etc/squid/acl/deny_users"</b></code></pre><br />Y en la sección de reglas definir reglas de filtrado para los usuarios que especifiquemos en el archivo <b>/etc/squid/acl/deny_users</b><br /><br /><b><u><span style="font-family: Courier New, Courier, monospace;">Configurar squid para autenticar grupos</span></u></b>.-<br /><div style="text-align: justify;">Con lo expuesto anteriormente, todos aquellos usuarios registrados en el servidor ldap podrán navegar por internet. Eso sí, al abrir el navegador se les solicitará que introduzcan su usuario y contraseña.<br /><br />Si ahora queremos ir un paso más allá y permitir o denegar que los usuarios de un cierto grupo naveguen o que lo hagan de forma limitada,  vamos a volver a modificar el fichero squid.conf.<br /><br /><pre class="source-code"><code><b># nano /etc/squid/squid.conf</b><br /></code></pre><div><br /></div><div>Una vez abierto el fichero, buscamos la regla:</div><div><br /></div><div><pre class="source-code"><code><b>http_access allow ldapauth</b></code></pre></div><div><br /></div><div>Y la comentamos:</div><div><br /></div><div><div><pre class="source-code"><code><b># http_access allow ldapauth</b></code></pre></div></div><div><br /></div><div>A continuación, buscamos el <b>TAG: external_acl_type</b> y al final de esta sección insertarmos lo siguiente:</div><br /><pre class="source-code"><code><b>external_acl_type group_auth %LOGIN /usr/lib/squid/squid_ldap_group -b "ou=Group,dc=instituto,dc=extremadura,dc=es" -f "(&(objectclass=posixGroup)(cn=%a)(memberuid=%v))" -h ldap -B "ou=People,dc=instituto,dc=extremadura,dc=es" -v 3 -s sub</b><br /></code></pre><div><code><b><br /></b></code></div>Esta acl externa a la que hemos llamado group_auth, nos va a permitir lograr que squid compruebe si un usuario es miembro de un grupo.<br /><br />A continuación nos vamos a la sección del documento donde se definen las ACL. Para ello buscamos el <b>TAG: acl,</b> nos desplazamos al final de esta sección e insertamos las acl que queramos. Por ejemplo, podemos especificar una acl para profesores:<br /><br /><pre class="source-code"><code><b># acl profesores external group_auth teachers</b><br /></code></pre><div><code><b><br /></b></code></div>Donde, teachers es uno de los grupos registrados en nuestro servidor ldap.<br /><br />También podríamos crear una acl para usar en reglas de filtrado para alumnos:<br /><br /><pre class="source-code"><code><b># acl alumnos external group_auth students</b></code></pre><br />Por último, buscamos el <b>TAG: http_access </b>e insertamos reglas de filtrado:<br /><br /><pre class="source-code"><code><b>http_access allow profesores</b><br /></code></pre><div><code><b><br /></b></code></div>Esta vez no insertamos la línea al final de la sección. Tendremos que insertarla en el lugar que corresponda de acuerdo con las otras reglas que tengamos establecidas y dependiendo de cómo queráis filtrar.<br /><br />Una vez hecho ésto, reiniciamos squid para aplicar los cambios y listo:<br /><br /><pre class="source-code"><code><b># service squid restart</b></code></pre><br /></div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Filtrar por usuario mediante squid + ldap

Lo más habitual es que utilicemos Squid en modo transparente para filtrar tráfico en nuestra organización y  supongo que se debe a que es ...

Leer más »

Listas de control de acceso usadas habitualmente en Squid

<div style="text-align: justify;">Ya que en el post anterior vimos una introducción al control de acceso en Squid, veamos ahora algunas de las ACL que usamos habitualmente:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Para permitir el acceso a una serie de máquinas por su dirección IP especificamos una IP en cada línea del fichero /etc/squid/acl/allow_hosts:</div><div style="text-align: justify;"><b>acl allow_hosts src "/etc/squid/acl/allow_hosts"</b></div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Para denegar el acceso a una serie de máquinas por su dirección IP especificamos una IP en cada línea del fichero /etc/squid/acl/deny_hosts:</div><div style="text-align: justify;"><b>acl deny_hosts src "/etc/squid/acl/deny_hosts"</b></div><div><b><br /></b></div><div><div style="text-align: justify;">Para permitir el acceso a una serie de máquinas por su MAC especificamos una dirección MAC en cada línea del fichero /etc/squid/acl/allow_macs:</div><div style="text-align: justify;"><b>acl allow_macs arp "/etc/squid/acl/allow_macs"</b></div></div><div><b><br /></b></div><div><div style="text-align: justify;">Para denegar el acceso a una serie de máquinas por su MAC especificamos una dirección MAC en cada línea del fichero /etc/squid/acl/deny_macs:</div><div style="text-align: justify;"><b>acl deny_macs arp "/etc/squid/acl/deny_macs"</b></div></div><div><b><br /></b></div><div><div style="text-align: justify;">Para permitir el acceso a determinados nombres de dominio, indicamos el nombre del dominio a permitir comenzando por un punto. Ejemplo: .gobex.es </div><div style="text-align: justify;"><b>acl allow_domains dstdomain "/etc/squid/acl/allow_domains"</b></div></div><div><b><br /></b></div><div><div><div style="text-align: justify;">Para denegar el acceso a determinados nombres de dominio:</div><div style="text-align: justify;"><b>acl deny_domains dstdomain "/etc/squid/acl/deny_domains"</b></div></div></div><div><b><br /></b></div><div><div><div style="text-align: justify;">Para permitir el acceso a determinados dominios por sus IP's, indicamos una ip/mascara del dominio en cada línea del archivo /etc/squid/acl/allow_dst. Ejemplo: 173.194.0.0/16</div><div style="text-align: justify;"><b>acl allow_dst dst "/etc/squid/acl/allow_dst"</b></div></div><div><b><br /></b></div><div><div style="text-align: justify;">Para denegar el acceso a determinados dominios por sus IP's:</div><div style="text-align: justify;"><b>acl deny_dst dst "/etc/squid/acl/deny_dst"</b></div></div></div><div><b><br /></b></div><div><div><div style="text-align: justify;">Para denegar el acceso a determinadas extensiones de archivos, como por ejemplo: .mp3$ .avi$ ...</div><div style="text-align: justify;"><b>acl deny_files urlpath_regex -i "/etc/squid/acl/deny_files"</b></div></div></div><div><b><br /></b></div><div><div><div style="text-align: justify;">Para denegar el acceso a determinadas palabras en las URL's:</div><div style="text-align: justify;"><b>acl deny_words url_regex -i "/etc/squid/acl/deny_words"</b></div></div></div><div><b><br /></b></div><div><div><div style="text-align: justify;">Para controlar el acceso en un determinado horario:</div><div style="text-align: justify;"><b>acl horariopermitido time MTWHF 08:00-15:15</b></div></div></div><div><div><div style="text-align: justify;"><b>acl horariodenegado time MTWHF 15:16-07:59</b></div></div></div><div><b><br /></b></div><div style="text-align: justify;">Una vez definidas todas las ACL's, el siguiente paso es buscar el TAG: http_access en el fichero /etc/squid/squid.conf e incluir las reglas que definan las restricciones que queramos aplicar, teniendo en cuenta el orden en que debamos aplicarlas.</div><div><b><br /></b></div><span id="zsprotentradas">Publicado por primera vez en http://enavas.blogspot.com.es</span>

Listas de control de acceso usadas habitualmente en Squid

Ya que en el post anterior vimos una introducción al control de acceso en Squid, veamos ahora algunas de las ACL que usamos habitualmente: P...

Leer más »

Control de acceso en Squid

<div style="text-align: justify;">Con este post tan sólo pretendo hacer una "<b>breve</b>" introducción al control de acceso mediante Squid, algo que considero fundamental para entender lo más básico a la hora de establecer nuestras propias reglas.<br /><br /></div><b><span style="font-size: large;"><u>Archivos de configuración</u>.-</span></b><br /><div style="text-align: justify;">Antes de nada, recordar que toda la configuración de squid se encuentra por defecto en el fichero<b> /etc/squid/squid.conf</b>. No obstante, siempre podemos separar ciertas configuraciones en otros ficheros e incluirlas mediante "<b>include</b>" en el fichero principal. Por ejemplo:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Nosotros tenemos separada la configuración de la <b>caché</b> en un archivo <b>/etc/squid/squid-cache.conf</b> o las <b>reglas de refresco</b> en un archivo <b>/etc/squid/squid-cache-refresh.conf</b>. La configuración de estos dos ficheros, se añade al fichero squid.conf simplemente mediante dos includes dentro de dicho fichero:</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;"><b>include /etc/squid/squid-cache.conf</b></div><div style="text-align: justify;"><b>include /etc/squid/squid-cache-refresh.conf</b></div><div><br /></div><div style="text-align: justify;">Esto nos va a simplificar el control de las configuraciones.<br /><br /></div><b><u><span style="font-size: large;">Cómo se lleva a cabo el control de acceso.-</span></u></b><br /><div style="text-align: justify;">Básicamente, el control de acceso se realiza mediante dos componentes:</div><div style="text-align: justify;"></div><ul><li><b>Listas de Control de Acceso</b> (ACL), que nos van a permitir definir listas de acceso basadas en IP's, MAC's, nombres de dominio...</li><li><b>Reglas de acceso</b>, que nos van  a proporcionar la posibilidad de permitir o denegar el acceso mediante las listas de control de acceso.</li></ul><div><b><span style="font-size: large;">Defninición de listas de control de acceso:</span></b><br /><div>Una lista de control de acceso tiene una de las siguientes formas:</div><div><ul><li><b>acl nombreacl tipoacl [-i] valor...</b></li><li><b>acl nombreacl tipoacl [-i] "archivo"</b></li></ul></div></div><div><div style="text-align: justify;">Esto significa que podemos definir los elementos afectados por la acl en la misma línea de configuración (<b>acl nombreacl tipoacl [-i] valor...</b>) o en un archivo (<b>acl nombreacl tipoacl [-i] "archivo"</b>).</div></div><div><br /></div><div>La opción "<b>-i"</b> nos va a permitir eliminar la restricción de distinguir entre mayúsculas y minúsculas.</div><div><br /></div><div><div style="text-align: justify;">Un ejemplo del primer caso: </div><div style="text-align: justify;"><b>acl equipodirectivo src 192.168.1.10-192.168.1.25/32</b></div></div><div><div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Un ejemplo del segundo caso: </div><div style="text-align: justify;"><b>acl equipodirectivo src "/etc/squid/acl/ips_equipodirectivo"</b></div></div></div><div><br /></div><div><div style="text-align: justify;">En el primer caso, separaríamos cada uno de los elementos mediante un espacio en blanco.</div></div><div><div style="text-align: justify;">En el segundo caso, colocaríamos la definición de IP's dentro del archivo, especificando cada elemento en una línea.<br /><br /></div></div><b><span style="font-size: large;">Definición de reglas de acceso:</span></b><br />Una regla de acceso se define mediante la directiva <b>http_access</b>:<br /><ul><li><b>http_access allow|deny [!]nombreacl ...</b></li></ul>Con http_access vamos a permitir o denegar una o varias acl.<br /><br /><div style="text-align: justify;">El símbolo "<b>!</b>" es opcional y sirve para negar una acl. Lo usaremos cuando queramos aplicar lo contrario de una acl definida.</div><div style="text-align: justify;"><br /></div><div style="text-align: justify;">Ejemplos:</div><div style="text-align: justify;"><b>http_access allow equipodirectivo</b><br /><b>http_access deny all</b></div><div style="text-align: justify;"><b><u><br /></u></b><b><u><span style="font-size: large;">Flujo de procesamiento.-</span></u></b></div><div style="text-align: justify;"><ul><li>Squid analiza las reglas de una en una en el orden en el que están escritas en el documento de configuración, de arriba a abajo.</li><li>La primera regla que coincida es la que se aplica, interrumpiendo el procesamiento de las reglas posteriores.</li><li>En una regla puede haber más de una acl. </li><li>Si en una regla de acceso hay más de una acl, todas las acl's de la regla deben cumplirse para que se aplique. </li><li>Si después de evaluar todas las reglas de acceso, no se encuentra ninguna regla que se cumpla, se realizará al acción contraria a la definida por la última regla de la lista. Debido a ésto,  es conveniente que definamos una última regla al final que deniegue el acceso: <b>http_access deny all</b></li></ul><br />Publicado por primera vez en http://enavas.blogspot.com.es</div>

Control de acceso en Squid

Con este post tan sólo pretendo hacer una " breve " introducción al control de acceso mediante Squid, algo que considero fundament...

Leer más »