domingo, junio 26, 2005

SquidNT - Restriccion por sitios

Version Actualizada en esta pagina...

http://leo-on.redimidas.com/squidnt/squidnt-restriccion-por-sitios/



Esta obra está bajo una licencia de Creative Commons.
Autor: Francisco Leonel Rubio Quintanilla (rubioq)

Este documento es una adecuación de el manual: Cómo configurar Squid: Restricción de acceso a Sitio de Red, de: Joel Barrios Dueñas.

Usted es libre de copiar, distribuir y comunicar públicamente la obra y hacer obras derivadas bajo las condiciones siguientes: a) Debe reconocer y citar al autor original. b) No puede utilizar esta obra para fines comerciales. c) Si altera o transforma esta obra, o genera una obra derivada, sólo puede distribuir la obra generada bajo una licencia idéntica a ésta. Al reutilizar o distribuir la obra, tiene que dejar bien claro los términos de la licencia de esta obra.


Haciendo caso a la petición de Andrés Sarmiento, me puse a investigar como hacer restricciones por sitio en Squid para Windows (SquidNT), el procedimiento es muy similar al usado dentro de la versión Linux.

Partiendo del principio que se necesita restringir nuestra red para que los usuarios puedan salir solo a ciertas direcciones y de este modo optimizar el ancho de banda. Respecto a lo ético del asunto se puede debatir ampliamente sobre esto, pero la realidad es que aun en mi red personal (la de mi casa) yo haría esto para evitar que entren en sitios que les llenarían de spyware sus PCs. Dejo este procedimiento para que lo use quien lo considere conveniente.

Requerimientos:

1.- SquidNT ya funcionando. (Si aun no lo tienes lee, mi HOWTO)
2.- Lista de lo que queremos evitar que visiten nuestros usuarios.

El primer paso es hacer un archivo de texto con las direcciones que no queremos que visiten nuestros usuarios. Recomiendo poner este archivo dentro de la carpeta etc. de Squid, ponle un nombre descriptivo al archivo, para este caso use bansit.txt.

El archivo quedaría algo así: "C:\squid\etc\bansit.txt".

www.elchat.com
www.amigos.com
www.astalavista.com
www.bride.ru
www.playboy.com

Abre el archivo squid.conf, localizado en "c:\squid\etc" y buscas estas líneas.

acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl to_localhost dst 127.0.0.0/8
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl CONNECT method CONNECT
acl net src 192.168.0.0/255.255.255.0

Al final agregas la siguiente ACL (regla).

acl bansit url_regex "c:/squid/etc/bansit.txt"

Al hacer esto estas agregando una regla para los sitios comprendidos dentro del archivo de texto que creamos.

Después de esto modificaremos la regla de control de acceso para nuestra RED, así que busca la línea:

http_access allow net

Y le agregas el !bansit, quedando de este modo.

http_access allow net !bansit

Cuando agregas un símbolo de ! (admiración) antes de poner el nombre de una regla ACL previamente creada estas negando la regla, es decir permites que tus red acceda a Internet siempre y cuando lo que quiera hacer no coincida con la regla negada.

Dicho lo siguiente tal vez puedas navegar tú localmente si tener la restricción, pero quisieras que no pase esto entonces buscas la línea:

http_access allow manager localhost

Y la cambias por esta:

http_access allow manager localhost !bansit

Cuando termines de configurar estos parámetros será necesario reiniciar el servicio de squidNT. Echo esto a disfrutar del tiempo libre que te dan las restricciones.

Este manual es una migración del manual original de Cómo configurar Squid: Restricción de acceso a Sitio de Red, de Linux Para Todos. Aplicado a Squid Para Windows (SquidNT)

Mas información de Squid en este blog.
http://rubioq.blogspot.com/2005/07/mensajes-de-error-en-squid-traducidos.html
http://rubioq.blogspot.com/2005/06/howto-squid-para-windows.html

Cualquier duda, deja tu comentario.

34 Comments:

Anonymous Anónimo said...

Rubioq, estoy tratando de configurar SquidNT en mi red y no me funciona, segui todos los pasos que aparecen en How to, pero me sale un error de servicios cuando reinicio la maquina.

7:49 a.m.  
Anonymous Anónimo said...

Rubio, mil gracias por ese articulo tan completo y sencillo de entender para personas como yo, que poseemos conocimientos basicos sobre redes. El problema es que después de seguir al pie de la letra las instrucciones de su articulo el servicio no se inicia debidamente, utilice la opción de herramientas administrativas y no aparecia iniciado, por lo tanto no se podia reiniciar, pase a reiniciar el equipo y cuando reinicio salio un mensaje que mostraba error de inicio en el servicio, Te explico como esta mi red, el rango de IP esta entre 172.16.24.2 - 172.16.24.250, la red es clase C (255.255.255.0), la internet nos la provee un servidor el cual nos comunicamos via microondas, Te agradeceria enormemente tu ayuda, pues esta herramienta era la que necesitabamos aqui en la institución.
Nota: se ejecutaron los comandos de -z e i, y no se presento ningún error.
Mil gracias.
Andrés Felipe

7:50 a.m.  
Blogger Leonel Rubio said...

Te agradeceria que revisaras nuevamente todos los parametros, y que veas si tienes abierto en el firewall el puerto que asignaste.

3:22 p.m.  
Anonymous Anónimo said...

Hola rubio, estos sitios que se pueden bloquear, puede usarse comodines? e incluso IPs ?

por ejemplo:

*.astalavista.com
200.56.78.90


???
Otra pregunta, SQUID funciona con cualquiera programa que desee conectars ea Internet? He probado con IE y MSN messenge ry funcionan perfecto.

Siempre se debe configurar en server proxy como: HTTP y Puerto : 3128

? Nada de socks 4 ni nada de eso cierto ?

Bueno, saluditos, y gracias a ti tengo corriendo el proxy server, estoy probandolo con equipos virtuales del VIRTUAL PC.

TAKEOVeR
Bogota-Colombia

2:09 a.m.  
Blogger Leonel Rubio said...

puede usarse comodines? e incluso IPs ?
Pues estas restricciones son por sitios, para las restricciones por IP se sigue otro procedimiento que espero poder explicar mas adelante. resécto a los comodines es mas o menos asi.

si pones
www.altavista.com solo bloqueara
ese dominio.

Pero si pónes
altavista.com bloqueara este y sus subdominios.

programa que desee conectars ea Internet?
Nada de socks 4 ni nada de eso cierto ?

El proxy sirve para cualquier programa que sea compatible con el, es decir no es posible bajar correos por medio del proxy, pero si usar un cliente de im.

Siempre se debe configurar en server proxy como: HTTP y Puerto : 3128
Puedes usar cualquier puerto, incluso el 80.

10:32 a.m.  
Anonymous Anónimo said...

Hola a todos: Mi nombre Gregory

Hola.... Rubioq... esta bueno el HOWTO de instalación y puesta en servicio del SquidNT... pero tengo un problema... cuando configuro el proxy... en las PC's clientes... no puedo acceder a ninguna pagina... no se si es por esta linea de comando??

acl net src 192.168.1.2/255.255.255.0 --> Como tendria que ponerlo??

he probado con 192.168.1.0 <-- 192.168.1.x

o tal vez... sea el puerto... yo he puesto el 3128 que nos indicaste y se mismo lo pongo en las PC's clientes...

o tal vez aun sea por que el !bansit....
no se si es asi?
http_access allow net !bansit
o asi?
http_access allow net!bansit

agradeceria tu ayuda por medio de este foro... para algunas personas que tengan el mismo problema... mi correo es gregorygalarza@hotmail.com

de antemano gracias por tu ayuda...
hasta pronto =)

11:07 a.m.  
Blogger Leonel Rubio said...

acl net src 192.168.1.2/255.255.255.0 --> Como tendria que ponerlo??

Segun como tengas configurada tu Red, suponiendo que sean PCs con la configuracion.

192.168.1.X (X = Valor de 1 a 254 segun la Pc).
Y con una mascara de red:
255.255.255.0

Entonces la regla deverias de ponerla asi.

acl net src 192.168.1.0/255.255.255.0

o tal vez... sea el puerto... yo he puesto el 3128 que nos indicaste y se mismo lo pongo en las PC's clientes...
Bueno, tienes que configurar el navegador para que use el squid.

o tal vez aun sea por que el !bansit....
no se si es asi?
http_access allow net !bansit
o asi?
http_access allow net!bansit

Te recomendaria que primero hagas funcionar el proxy, despues pones las reglas de acceso.

3:39 p.m.  
Anonymous Anónimo said...

Hola Leonel... gracias por tu ayuda... el servicio ya lo tengo iniciado... solo el problema que tengo creo que es al configurar el proxy en las pc's clientes... no como me puedes ayudar al respecto??... es necesario que el servidor proxy configurado en las pc's clientes... sea la misma puerta... de enlace??...

de Antemano gracias por tu ayuda

8:53 a.m.  
Blogger Leonel Rubio said...

el problema que tengo creo que es al configurar el proxy en las pc's clientes... no como me puedes ayudar al respecto??... es necesario que el servidor proxy configurado en las pc's clientes... sea la misma puerta... de enlace??...

Mira necesitas configurar el proxy directamente en cada aplicacion.

Squid funciona para: HTTP, HTTPS, FTP, GOPHER y WAIS, para cualquier cosa distinta necesitar un router o un servidor Socks.

Ahora muchos servicios que no entran en esas categorias pueden funcionar por medio de un proxy, como el msn, jabber y otros mas, pero tienes que configurar cada uno por separado.

Aqui un ejemplo de como se hace.
Ejemplo de Explorer 5

9:06 a.m.  
Anonymous Anónimo said...

Hola de nuevo...Soy Gregory...

Bueno gracias por el comentario, el servicio de SquidNT lo tengo corriendo... en mi maquina... y he seguido todo los pasos de configuración del squid.conf... pero igual el acceso en las pc's clientes no se dá, cuando los clientes quieren acceder a cualquier web no pueden... pero estoy tratando de resolver este problema documentandome mas.... pero gracias por tu ayuda....

Ahora bien... que bueno que tocas el tema de msn, jabber, ¿kazaa?, ¿Ares?, como se podría denegar el acceso a estos servicios por medio de SquidNT?... no se si puedan ayudarme con eso, me despido... saludos a todos

Gregory

10:20 p.m.  
Blogger Leonel Rubio said...

pero igual el acceso en las pc's clientes no se dá, cuando los clientes quieren acceder a cualquier web no pueden

Lo primero es checar si navegas como localhost, es decir s puedes usar el squid en la Pc dnde esta instalado.

Lo segundo revisar si el firewall esta bloqueando los accesos.

Ahora bien... que bueno que tocas el tema de msn, jabber, ¿kazaa?, ¿Ares?, como se podría denegar el acceso a estos servicios por medio de SquidNT?... no se si puedan ayudarme con eso, me despido... saludos a todosBueno, espero mas adelante poder publicar algo asi.

10:52 p.m.  
Anonymous Anónimo said...

Saludos Rubio:
Un prospero año nuevo para ti
Soy estudiante de 3 año de informatica en Cuba. En estos momentos estoy administrando una red en un centro laborar, tengo instalado windows server 2003, con un wingate 5.0.0 como proxy con muy buenos resultados hasta ahora en cuanto a navegacion pero a la hora de restringir el acceso a algunas paginas a algunas pc de red e tenido problemas y me recomendaron squid para windows. Ya tengo tu HOWTO muy bueno por supuesto (MIS FELICITACIONES POR EL).estuve leyendo tu tema sobre las restricciones pero aqui solo se habla de paginas web. por favor ¿sabes como hacer para restringir los acceso de las web a determinados numeros de ip de una red y los demas que tengan libre acceso?.
si puedes escribirme mi correo es inforcpi@infomed.sld.cu ó yubray@yahoo.es

9:10 a.m.  
Anonymous Anónimo said...

saludos:
¿Tienes o puedes recomendarme de donde puede bajar, como se hacer ACLs para cada grupo de red tal como se hace con Net o las ips de tus ips locales. Despues creas reglas de acceso denegado o permitido segun requieras.una red. en el squid?
feliz año nuevo

7:36 a.m.  
Anonymous Anónimo said...

Hola Rubio:
Maginifico el HOW TO.
Comentarte que he instalado y he hecho funcionar el squid en mi PC pero no me hace caso del bansit y lo he realizado como estaba en tu manual.No sé que puede estar pasando.¿Alguna idea?
mi correo es felixct@hotmail.com
Gracias y un saludo

7:11 a.m.  
Anonymous Anónimo said...

como añadir usuarios o cambiar contraseña de los usuarios actuales con que comandos?
Salu2
favor contestarme a mi e-mail
ruben700409@hotmail.com

2:46 p.m.  
Blogger Leonel Rubio said...

Ruben, no entendo tu problema.

A que usuarios te refieres?

3:25 p.m.  
Anonymous Anónimo said...

Mira rubio el problema es el siguiente el squid cuando esta intalado en linux puedes agregar usuarios con este comando (htpasswd passwd nombre del usuario) y ya asi el puede navegar cuando el proxy le pide login y contraseña para navegar, el caso es que no se como añadir en squid sobre windows usuarios, contraseña ni cambiar la existentes
salu2
ruben700409@hotmail.com

11:35 a.m.  
Blogger Leonel Rubio said...

Bueno, la verdad eso no lo he intentado con Windows, pero, en Linux ese comando te genera un archivo de texto, por como te expresas supongo que ya lo tienes implementado, así que te sugeriría vieras la ruta de el archivo de passwords y lo modificaras manualmente con el notepad.

9:43 a.m.  
Anonymous Anónimo said...

Estimado Leonel:
El tutorial esta barbaro. Pero te hago una pregunta:
Yo en la pc de mi casa, configuro el squid y lo dejo andando, el tema es que tengo hijos (pequeños) y no me gustaria que naveguen por ciertos lugares. Si bien soy admin de seguridad en una empresa con squid bajo Linux, en la empresa tenemos reglas con autenticacion, en base a un dominio, pero en mi casa, como lo hago? como hago para que ellos ingresen su usuario y contraseña y poder dejarlos navegar determinados sitios (y bloquear por ejemplo, las paginas pornograficas)? o bien, como bloqueo las paginas porno?

Desde ya muchas gracias.

9:44 a.m.  
Blogger Leonel Rubio said...

Estimado Leonel:
El tutorial esta barbaro. Pero te hago una pregunta:
Yo en la pc de mi casa, configuro el squid y lo dejo andando, el tema es que tengo hijos (pequeños) y no me gustaria que naveguen por ciertos lugares. Si bien soy admin de seguridad en una empresa con squid bajo Linux, en la empresa tenemos reglas con autenticacion, en base a un dominio, pero en mi casa, como lo hago? como hago para que ellos ingresen su usuario y contraseña y poder dejarlos navegar determinados sitios (y bloquear por ejemplo, las paginas pornograficas)? o bien, como bloqueo las paginas porno?

Desde ya muchas gracias.


Revisa este manual alli detallo el como.

SquidNT restricción por autenticación

10:01 a.m.  
Anonymous Anónimo said...

instale el proxy todo funciona bien pero cuando entre al chat en www.caliesca.com me dice que el servidor proxy esta bloqueando el puerto de calichat que puedo hacer

7:12 p.m.  
Blogger Leonel Rubio said...

ignoro que puertos use calichat, podrias comenzar a liberar dentro de squid los que este use.

10:19 a.m.  
Blogger Cryptonio said...

Buenos dias, hace algunas semanas decidi en buscar soluciones de proxy y di con squid ya que lei muchos comentarios muy buenos sobre el, despues di con tu blog para comenzar la configuracion y todo ha salido mucho muy bien, gracias por ayudanos a los iniciados, y un comentario con la mejor intencion para todos aquellos que no logran hacerlo funcionar: lean todo el squid.conf No digo que se lo aprendan, una leida rapida ayuda muchisimo, ahi mismo se explica lo que estan buscando, saludos a todos

9:52 a.m.  
Anonymous Anónimo said...

eEn primer lugar agradecerte por este tutorial ya q es facil de enterder me fue de gran ayuda pude configurar el servidor proxy y tambien pude hacer las restricsiones; En segundo lugar pedir de tu ayuda lo q quiero es restringir las paginas y mesenger a algunas direcciones Ips,no ha todas, y la otra es q quiero q las maquinas salgan con mi puerta de enlace para no utilizar "configuracion Lan" muchas gracias de antemano
Alcences
Segemento de Red 192.168.17.0
MAscara 255.255.255.0
x ejm del ip 192.168.17.2 al ...15
restringir msn y 5 paginas

marcoruiz21@gmail.com

3:02 p.m.  
Anonymous Anónimo said...

Hola Leonel Rubio Necesito saber si se puede configurar el Ancho de Banda en squidNT para elejir que PC tenga mas ancho de banda, o ya biene por defecto la config para que reparta la misma velocidad del Modem en mi caso tengo 512 kbps. espero su Amable respuesta Gracias de antemano....

12:56 p.m.  
Anonymous Anónimo said...

Saludos Rubio, Ante todo mi aprobación por este blog, es muy interesante. tengo implementado el squid sobre windows y me trabaja muy bien, pero necesito que me digas como puedo agregarle usuarios y contraseña para que cuando uno de mis usuarios de la red soliciten conectarse, squid le solicite un nombre de usuario y un password.

Espero tu ayuda

8:19 a.m.  
Blogger Leonel Rubio said...

La informacion que buscas la puiedes encopntrar aqui...

http://rubioq.redimidas.com/index.php/pages/SquidNT-restriccion-por-autenticacion

9:53 a.m.  
Anonymous Anónimo said...

HOLA LEONEL PRIMERAMENTE TE AGRADESCO POR EL MANUAL DE SQUID
MI NOMBRE ES GUIDO Y SOY DE PERU
HEY ESTADO INTENTANDO DE INSTALAR EL SQUID Y DESPUE DE UN LARGO RATO LO PUDE INSTALAR TENGO UN PROBLEMA
HEY CONFIGURADO EL PROXY EN EL NAVEGADOR DE EXPLORER Y FUNCIONA DE MARAVILLA PERO AL MOMNETO DE RESTRINGIR UNA PAGINA WEB ..TODO SIGUE IGUAL .. COMO SI NO ESTUVIERA RESTRINGIDO
TE AGRDECERIA ENORMEMENTE TU AYUDA QUE ES DE GRAN VALOR PAR MI
MI MAIL ES CAMUS_@HOTMAIL.COM

2:08 p.m.  
Blogger Unknown said...

hola soy nicolas, de colombia, mira siguiendo tus instrucciones pude instalar y configurar SQUID en win server 2003 y cuando ya me estaba funcionando, me dio por copia el squid.conf de una maquina linux que tengo con squid y la embarre..., y no he podido volver a subir el servicio por que me sale un error 1063, y por consola me dice que no puede crear el registro, no recuerdo, bueno el caso es que empece de cero a instalar el squid pero resulta que ya quedaron unos registros en windows y ahora no se dejan borrar, para colmo ya no me sale el archivo squid.exe sino que ahora es squidclient.exe, estoy desesperado por desinstalarlo bien y volver a ponerlo a funcionar, me gustaria que me ayudaran a eliminar todos los registros de squid del sistema para volver a subir el squid, gracias.
nick_ibarra@hotmail.com

8:57 p.m.  
Blogger Unknown said...

muchas gracias, tu manual es una forma sencilla de hacer trabajar el squid bajo windows.

11:11 a.m.  
Anonymous Anónimo said...

hola sr: leonel gracias por el manual tan sencillo de entender he con figurado el squid y funciona de muy vien ecepto por un punto es que lo que quiero aser es denegar todo y aceptar solo algunas cuantas paginas, hasta donde me llevo mi logica pense que con tansolo cambiar la linea

http_access allow net !permitidos

por

http_access deny net !permitidos

pero no funciona se deniega todo osea los pasos que estan en le manual funcionan de maravilla solo que mi objetivo es contrario la pregunta es como puedo aser eso ?

gracias y que dios te bendiga

11:48 a.m.  
Anonymous Anónimo said...

Hola yo para poder bloquear todo y dar acceso a lo que yo quisiera hice lo sgte.:

primero defino la red o las direcciones IP que quiero restringir (ejemplo):

acl red src 192.168.1.0/255.255.255.0

Luego edito el sgte. parametro de la sgte manera:

http_access deny red !permitidos

Y por ultimo debes crear el ACL de exclusion:

acl permitidos url_regex "c:/squid/etc/permitidos.txt"

En esta ACL va la ruta del fichero donde coloco los registros que excluyo, el cual como puedes ver lo nombre permitidos.txt
("c:/squid/etc/permitidos.txt")

Espero haberte ayudado.

Saludos Leonel, exelente blog.

MGR

6:45 a.m.  
Anonymous Anónimo said...

Hola Leonel, primero agradecerte por facilitarme las cosas en el uso del squid con tus articulos, ahora tengo una pregunta que ya antes te han hecho aqui mismo (mas arriba) pero no la haz contestado, espero te tomes la molestia de responderme, es sobre esto mismo de restringir paginas pero quiero que algunas ip si las puedan ver, seria algo asi como: restringir estas paginas web (archivo con lista paginas) excepto para estas ips (archivo con lista ips).
Saludos.

12:55 p.m.  
Anonymous Anónimo said...

HOLA LEONEL PRIMERAMENTE TE AGRADESCO POR EL MANUAL DE SQUID
MI NOMBRE ES ANDRES Y SOY DE COLOMBIA HE ESTADO INTENTANDO DE INSTALAR EL SQUID Y DESPUE DE UN LARGO RATO LO PUDE INSTALAR TENGO UN PROBLEMA
HEY CONFIGURADO EL PROXY EN EL NAVEGADOR DE EXPLORER Y FUNCIONA DE MARAVILLA PERO AL MOMNETO DE RESTRINGIR UNA PAGINA WEB ..TODO SIGUE IGUAL .. COMO SI NO ESTUVIERA RESTRINGIDO
TE AGRDECERIA ENORMEMENTE TU AYUDA QUE ES DE GRAN VALOR PAR MI
MI MAIL ES SIR_ANDRES@HOTMAIL.COM

6:08 p.m.  

Publicar un comentario

<< Pagina principal