LinuxForum.Fans
Тема

sams+squid проблемы с созданием правил для пользователей sams'ом

Автор: ilyaveryasov 19 сообщений 3595 просмотров
11.10.2012 11:05 #278873

Доброго времени суток.

настроил прокси на squid и привязал ему веб интерфейс на sams 1.0.5.

веб интерфейс работает, предоставляет возможность создавать пользователей и разграничивать между ними доступ к ресурсам внешней сети.

однако при добавлении пользователя демон sams выдает ошибку

text


 Cache... 0
    User autentification... IP
    Sleep time of samsdaemon...  1 second
    Redirector... SAMS
    SQUID log parser...     User traffic cleaner... YES
    Squidlog cache save... 12 month
    User name recode... NO
    Delay pools... ON
    Domain separators... '0'
    Log level... '0'
    Create PDF file... YES
Creating SAMS users list /etc/squid/507661a673437.sams
squid configure file: /etc/squid/squid.conf
TAG: acl found... START
1 users found in template 507661a673437 (users_nmz), create ACL
TAG: acl END


TAG: http_access found...  START
1 users found in the template 507661a673437 (users_nmz), create access rights
TAG: http_access END
TAG: delay_class found
2012/10/11 15:27:27| aclParseIpData: WARNING: Netmask masks away part of the specified IP in '192.168.100.150/255.255.255.0'
2012/10/11 15:27:27| WARNING: Very large maximum_object_size_in_memory settings can have negative impact on performance

отсюда видно, что squid ругается на некорректную маску подсети

пробую создавать пользователя без маски

text


    Cache... 0
    User autentification... IP
    Sleep time of samsdaemon...  1 second
    Redirector... SAMS
    SQUID log parser...     User traffic cleaner... YES
    Squidlog cache save... 12 month
    User name recode... NO
    Delay pools... ON
    Domain separators... '0'
    Log level... '0'
    Create PDF file... YES
Creating SAMS users list /etc/squid/507661a673437.sams
squid configure file: /etc/squid/squid.conf
TAG: acl found... START
1 users found in template 507661a673437 (users_nmz), create ACL
TAG: acl END


TAG: http_access found...  START
1 users found in the template 507661a673437 (users_nmz), create access rights
TAG: http_access END
TAG: delay_class found
2012/10/11 15:56:50| aclParseAclLine: WARNING: empty ACL: acl _sams_507661a673437 src "/etc/squid/507661a673437.sams"
2012/10/11 15:56:50| WARNING: Very large maximum_object_size_in_memory settings can have negative impact on performance

подскажите в чем может быть проблема?!

платформа ubuntu server 10.04

11.10.2012 11:15 · отредактировано #278878

А как вы задаёте маску, покажыте пример айпи-маска
И какие настройки локального кеша у вас и используемой памяти в конфиге прописаны?

11.10.2012 11:17 #278881

Проверь сколько памяти выделил для кальмара в конфиге.

11.10.2012 11:21 #278885

Там наверное обем кеша больше виделеной памяти для процеса, потому и ругаетса.

11.10.2012 11:51 #278890
kisil написал:
А как вы задаёте маску, покажыте пример айпи-маска

при создании пользователя в sams задаю ему ip 192.168.100.150 и маску 255.255.255.0

kisil написал:
И какие настройки локального кеша у вас и используемой памяти в конфиге прописаны?
text
cache_dir ufs /var/spool/squid 3000 32 512
text
maximum_object_size 5 MB
text
maximum_object_size_in_memory 5 MB
11.10.2012 11:53 #278891

теперь выдает только одну ошибку

text
2012/10/11 16:52:08| aclParseAclLine: WARNING: empty ACL: acl _sams_507661a67343                                                                                        7 src "/etc/squid/507661a673437.sams"
11.10.2012 11:58 #278892
"ilyaveryasov" написал:
теперь выдает только одну ошибку

это не ошибка, а предупреждение.

11.10.2012 12:15 #278898
i2ks написал:
[quote="ilyaveryasov"]теперь выдает только одну ошибку

это не ошибка, а предупреждение.[/quote]

отключили в sams редиректор и прокси стал работать корреткно, не подскажешь с чем связано?!

однако при выводе данного предупреждения файлик с расширением *.sams создается пустой, когда редиректор выключен файл заполняется ip адресом и маской

11.10.2012 17:19 #279017

редириктор какой???

12.10.2012 06:26 #279131
kisil написал:
редириктор какой???

встроенный в sams

12.10.2012 09:03 #279139

настройкой прокси более менее разобрался, имеется вот еще какая проблема:

на сервер имеется два сетевых интерфейса eth0 и eth1
eth0 смотри в локальную сеть
eth1 в интернет через роутер, предоставленный провайдером

проблема заключается в том, что сервер не видит локальные машины, хотя если роутер провайдера подключить к свитчу локальной сети, то сервер становится видимым для локального окружения, но это не совсем правильно, ведь любой кто знает адрес роутера от провайдера может воспользоваться интернетом.

выставил параметр
net.ipv4.ip_forward=1

не помогло

вот вывод команды ifconfig

text


eth0      Link encap:Ethernet  HWaddr 00:1f:e2:5d:da:2c
          inet addr:192.168.100.254  Bcast:192.168.100.255  Mask:255.255.255.0
          inet6 addr: fe80::21f:e2ff:fe5d:da2c/64 Scope:Link
          UP BROADCAST MULTICAST  MTU:1500  Metric:1
          RX packets:27704 errors:0 dropped:0 overruns:0 frame:0
          TX packets:335 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:1963132 (1.9 MB)  TX bytes:40818 (40.8 KB)
          Interrupt:26 Base address:0x8000


eth1      Link encap:Ethernet  HWaddr 00:40:f4:91:43:19
          inet addr:192.168.100.252  Bcast:192.168.100.255  Mask:255.255.255.0
          inet6 addr: fe80::240:f4ff:fe91:4319/64 Scope:Link
          UP BROADCAST RUNNING MULTICAST  MTU:1500  Metric:1
          RX packets:2354 errors:0 dropped:0 overruns:0 frame:0
          TX packets:1412 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:1000
          RX bytes:298096 (298.0 KB)  TX bytes:252241 (252.2 KB)
          Interrupt:18 Base address:0xde00


lo        Link encap:Local Loopback
          inet addr:127.0.0.1  Mask:255.0.0.0
          inet6 addr: ::1/128 Scope:Host
          UP LOOPBACK RUNNING  MTU:16436  Metric:1
          RX packets:290 errors:0 dropped:0 overruns:0 frame:0
          TX packets:290 errors:0 dropped:0 overruns:0 carrier:0
          collisions:0 txqueuelen:0
          RX bytes:96503 (96.5 KB)  TX bytes:96503 (96.5 KB)

конфигурация сети

text


# This file describes the network interfaces available on your system
# and how to activate them. For more information, see interfaces(5).


# The loopback network interface
auto lo
iface lo inet loopback


#internet
auto eth1
iface eth1 inet static
address 192.168.100.252
netmask 255.255.255.0
gateway 192.168.100.58


#localnet
auto eth0
iface eth0 inet static
address 192.168.100.254
netmask 255.255.255.0
network 192.168.100.0
broadcast 192.168.100.255
12.10.2012 10:16 #279161
"ilyaveryasov" написал:
ведь любой кто знает адрес роутера от провайдера может воспользоваться интернетом.

Уберите его совсем и настройте на вашем сервере. Толку больше будет и рулите им как хотите.

12.10.2012 10:21 #279165
XliN написал:
[quote="ilyaveryasov"] ведь любой кто знает адрес роутера от провайдера может воспользоваться интернетом.

Уберите его совсем и настройте на вашем сервере. Толку больше будет и рулите им как хотите.[/quote]

идея отличная, но все же хотелось бы заставить обе сетевые карты работать одновременно

12.10.2012 10:59 · отредактировано #279180
text
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr

eth1 смотрит в инет (в даном случаи на роутер вашего прова)

Если IP статика

text
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source XXX.XXX.XXX.XXX

если динамика

text
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
text
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT
12.10.2012 11:50 #279194
XliN написал:
text
echo "1" > /proc/sys/net/ipv4/ip_forward
echo 1 > /proc/sys/net/ipv4/ip_dynaddr

eth1 смотрит в инет (в даном случаи на роутер вашего прова)

Если IP статика

text
iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to-source XXX.XXX.XXX.XXX

если динамика

text
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE
text
iptables -A FORWARD -i eth1 -o eth0 -j ACCEPT
iptables -A FORWARD -i eth0 -o eth1 -j ACCEPT

прописал параметры для ip_forward и ip_dynaddr, перезапустил сеть, прописал правила iptables, при перезагрузке сервера видит внутреннюю (локальную) зону, но не видит интернет. После перезапуска сети ситуация ровно наоборот: не видит локальные машины, но пингует интернет.

12.10.2012 12:04 · отредактировано #279202

Покажи выхлоп

text
iptables -L -v
iptables -t nat -L -v

Может еще это понадобиться

text
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A OUTPUT -o eth0 -j ACCEP
12.10.2012 12:22 #279211

iptables -L -v

text

Chain INPUT (policy ACCEPT 12991 packets, 18M bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain FORWARD (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         


Chain OUTPUT (policy ACCEPT 7002 packets, 392K bytes)
 pkts bytes target     prot opt in     out     source               destination

iptables -t nat -L -v

text

Chain PREROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         

Chain POSTROUTING (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination         


Chain OUTPUT (policy ACCEPT 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
12.10.2012 13:17 #279244

все разобрался, все заработало!!!

следующий вопрос: кто нибудь знает как описать правила для iptables, чтобы почтовые протоколы smtp и pop ходил в обход squid'а по портам 110 и 25?!

12.10.2012 13:38 #279251
"ilyaveryasov" написал:
следующий вопрос: кто нибудь знает как описать правила для iptables, чтобы почтовые протоколы smtp и pop ходил в обход squid'а по портам 110 и 25?!

iptables

Войдите или зарегистрируйтесь, чтобы ответить.