Re: [ml] problema con le acl di squid in modalit? trasparente

----- Forwarded message from Fabio Mosti <fabio(at)videoarts-wd.com> -----
From: Fabio Mosti <fabio(at)videoarts-wd.com>
To: ml(at)sikurezza.org
Subject: Re: [ml] problema con le acl di squid in modalit? trasparente

Ing. Stefano Centineo - AMAP S.p.A. wrote:

> qua non mi convincono alcune cose...
>  1- perche' deny anche su "sitiNonPorno" ????

sono siti di contenuto vario che vanno bloccati... tipo warez, mp3 ecc...

>  2- perche permetti il collegamento per porte diverse dalle         
> Safe_ports ? in genere ho utilizzato la regola al contrario
>             http_access deny !Safe_ports
>          e analoga
>             http_access deny CONNECT !SSL_ports

normalmente anch'io, in questo particolare caso avevo messo un allow per
vedere se il problema era di porte... l'ho poi rimessa deny

>  3- infine dopo aver negato qualcosa, permesso altro ....
>      tutti fanno tutto ....!!! (allegria  ^__^) ..

sempre un allow di prova...

>      In genere, ma questo vale anche per il FW, le regole sono
>          nega tutto quello che non e' permesso
>      il che si traduce in           a) Regole permesse / negate
> esplicitamente
>           b) Deny ALL

? anche la mia filosofia ;-)

> dai un'occhiata su quanto sopra indicato .. e dicci cosa succede

permane la situazione di prima:
1) squid non inserisce i nomi di dominio nei log
2) quindi le url_regexp non funzionano (anche se i permessi sui files
sono corretti, squid le legge)
3) alcuni siti non vengono visualizzati pur non essendo nelle acl
(problema che si verifica solo se squid ? in modalit? trasparente)
4) tuttavia, se si imposta il proxy manualmente in Explorer, i siti al
punto 3 vengono visualizzati (quindi ? un problema di modalit? trasparente
5) le url_regexp non funzionano in nessun caso; le altre acl s?

> PS dai anche un'occhiata allo squid book

gi? fatto, alcune prove (tipo escludere la modalit? trasparente) le ho
fatte proprio leggendo l?

non capisco!!! quello che mi ? chiaro ? che mi trovo di fronte a due
problemi distinti:

1) le query dns che non vengono fatte giuste
2) il proxy trasparente che non funziona correttamente
-- 
*Fabio Mosti*
----- End forwarded message -----