Squid, dansguard, nie działający Clamav.

Farcoral · Post autor: **Farcoral** » 08 lis 2009, 16:38

Witam, mam małą sieć do skonfigurowania jest 5 komputerów i w obecnej sytuacji wygląda to tak, że internet jest rozdzielany Livebox -> komputery, wprowadzam rozwiązanie Livebox -> serwer proxy -> komputery. Na serwerze jest zainstalowany Squid, DansGuardian i ClamAV. Skonfigurowałem programy i działają, jednak nie współpracują ze sobą za dobrze, ClamAV nie skanuje plików, do tego DansGuardian jest trochę za "nerwowy" i blokuje pliki z rozszerzeniem np. zip
Z góry dziękuje za pomoc.

DansGuardian:

Kod: Zaznacz cały

reportinglevel = 3
languagedir = '/etc/dansguardian/languages'
language = 'polish'
loglevel = 2
logexceptionhits = 2
logfileformat = 1
filterip = 192.168.1.20
filterport = 8080
proxyip = 192.168.1.20
proxyport = 3128
usecustombannedimage = on
custombannedimagefile = '/usr/share/dansguardian/transparent1x1.gif'
filtergroups = 1
filtergroupslist = '/etc/dansguardian/lists/filtergroupslist'
bannediplist = '/etc/dansguardian/lists/bannediplist'
exceptioniplist = '/etc/dansguardian/lists/exceptioniplist'
showweightedfound = on
weightedphrasemode = 2
urlcachenumber = 1000
urlcacheage = 900
scancleancache = on
phrasefiltermode = 2
preservecase = 0
hexdecodecontent = off
forcequicksearch = off
reverseaddresslookups = off
reverseclientiplookups = off
logclienthostnames = off
createlistcachefiles = on
maxuploadsize = -1
maxcontentfiltersize = 256
maxcontentramcachescansize = 2000
maxcontentfilecachescansize = 20000
filecachedir = '/tmp'
deletedownloadedtempfiles = on
initialtrickledelay = 20
trickledelay = 10
downloadmanager = '/etc/dansguardian/downloadmanagers/fancy.conf'
downloadmanager = '/etc/dansguardian/downloadmanagers/default.conf'
contentscanner = '/etc/dansguardian/contentscanners/clamav.conf'
contentscannertimeout = 60
contentscanexceptions = off
recheckreplacedurls = off
forwardedfor = off
usexforwardedfor = off
logconnectionhandlingerrors = on
logchildprocesshandling = off
maxchildren = 120
minchildren = 8
minsparechildren = 4
preforkchildren = 6
maxsparechildren = 32
maxagechildren = 500
maxips = 0
ipcfilename = '/tmp/.dguardianipc'
urlipcfilename = '/tmp/.dguardianurlipc'
ipipcfilename = '/tmp/.dguardianipipc'
nodaemon = off
nologger = off
logadblocks = off
loguseragent = off
softrestart = off
mailer = '/usr/sbin/sendmail -t'

iptables:

Kod: Zaznacz cały

#!/bin/sh
iptables -F
iptables -X
iptables -t nat -X
iptables -t nat -F
iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT 
iptables -A INPUT -i lo -j ACCEPT
iptables -A FORWARD -o lo -j ACCEPT
iptables -A INPUT -j ACCEPT -m state --state ESTABLISHED,RELATED
iptables -A FORWARD -j ACCEPT -m state --state ESTABLISHED,RELATED

######
iptables -A INPUT -s 0/0 -p tcp --dport 22 -j ACCEPT
iptables -A INPUT -s 0/0 -p udp --dport 22 -j ACCEPT
iptables -A INPUT -s 0/0 -p tcp --dport 80 -j ACCEPT
iptables -A INPUT -s 0/0 -p udp --dport 80 -j ACCEPT

######
iptables -t nat -A PREROUTING -i eth0 -p tcp -m tcp --dport 80 -j REDIRECT --to-ports 8080

#######
iptables -A INPUT -p tcp -m tcp --dport 10000 -j ACCEPT

Squid:

Kod: Zaznacz cały

acl all src all
acl manager proto cache_object
acl localhost src 127.0.0.1/32
acl to_localhost dst 127.0.0.0/8

acl localnet src 10.0.0.0/8	# RFC1918 possible internal network
acl localnet src 172.16.0.0/12	# RFC1918 possible internal network
acl localnet src 192.168.0.0/16	# RFC1918 possible internal network

acl SSL_ports port 443		# https
acl SSL_ports port 563		# snews
acl SSL_ports port 873		# rsync
acl Safe_ports port 80		# http
acl Safe_ports port 21		# ftp
acl Safe_ports port 443		# https
acl Safe_ports port 70		# gopher
acl Safe_ports port 210		# wais
acl Safe_ports port 1025-65535	# unregistered ports
acl Safe_ports port 280		# http-mgmt
acl Safe_ports port 488		# gss-http
acl Safe_ports port 591		# filemaker
acl Safe_ports port 777		# multiling http
acl Safe_ports port 631		# cups
acl Safe_ports port 873		# rsync
acl Safe_ports port 901		# SWAT
acl purge method PURGE
acl CONNECT method CONNECT
acl MYNET src 192.168.1.0/255.255.255.0
acl server src 192.168.1.20
http_access allow server

http_access allow manager localhost
http_access deny manager

http_access allow purge localhost
http_access deny purge

http_access deny !Safe_ports

http_access deny CONNECT !SSL_ports

http_access allow MYNET
http_access allow localhost


http_access deny all


icp_access allow localnet
icp_access deny all

http_port 3128

hierarchy_stoplist cgi-bin ?

cache_mem 192 MB

cache_dir ufs /var/spool/squid 10000 16 256


refresh_pattern -i (.*jpg$|.*gif$|.*jpeg$|.*png$|.*bmp$) 0 50% 43200 
refresh_pattern -i (.*html$|.*htm|.*shtml) 0 20% 43200 
refresh_pattern (http://.*/$) 0 20% 43200 
refresh_pattern ^ftp: 1440 20% 10080 
refresh_pattern -i (.*zip$|.*gz$|.*bz2$|.*exe$|.*rar$|.*mp3$|.*rmvb$|.*mpg$|.*ogg$) 0 50% 43200
refresh_pattern . 0 20% 4320

zacharyjos · Post autor: **zacharyjos** » 10 lis 2009, 03:55

1. Pogadaj z dzieciakiem o niebezpieczeństwach czychających w Internecie, i że instalujesz taki filtr, filtr złych stron.

2. Wyłącz zatem wszystkie rozszerzenia w pliku

Kod: Zaznacz cały

mcedit /etc/dansguardian/lists/bannedextensionlist

3. Włącz ClamAVa - nie polecam; przy włączonym skanowaniu ładowanie filmików na youtube będzie trwało około 5 minut, poza tym czy to potrzebne, skoro masz avasta na kompie?

Kod: Zaznacz cały

./dansguardian.conf: contentscanner = '/etc/dansguardian/contentscanners/clamav.conf'

4. Dodaj polskie "Dobre zwroty" do listy - nie będą blokować stron dotyczących np. planowania rodziny; - chyba, że ich nie masz tego pliku w klatalogu.

Kod: Zaznacz cały

./lists/weightedphraselist:.Include</etc/dansguardian/lists/phraselists/goodphrases/weighted_general_polish>

Masz to opisane na stronie: http://dansguardian.pl.

Squid, dansguard, nie działający Clamav.

Squid, dansguard, nie działający Clamav.

Odp: Squid, dansguard, nie działający Clamav.

Kto jest online