Здравствуйте. Появилась острая необходимость в настройки прокси-сервера, в связи с чем выбор остановился на Squid'е. Собственно сабж:
acl manager proto cache_object
acl localhost src 127.0.0.1/32 ::1
acl to_localhost dst 127.0.0.0/8 0.0.0.0/32 ::1
# Основные ресурсы нашей офисной сети
acl office src 192.168.1.0/24 # наша сеть
acl users src "/etc/openip.txt" # Перечень IP-адресов пользователей, которым разрешён Интернет в принципе
acl peering src "/etc/peering.txt" # Перечень пиринговых сетей провайдера
# Набор правил для пулов задержки
acl vip src "/etc/squid3/pools/vip.txt" # Перечень IP-адресов с неограниченными привилегиями
acl delaypool src "/etc/squid3/pools/delay.txt" # Для четвертого пула - активно "качающие" пользователей
acl delaypool10 src "/etc/squid3/pools/delay10.txt" # Для первого пула - наказываем за нарушения резко ограничивая скорость
acl delaysites url_regex -i "/etc/squid3/pools/delay_sites.txt" # Для четвертого пула - ограничиваем сайты лидеры закачек
# Набор правил для борьбы с нежелательным контентом
# предлагаемые классы: adv,dating,redirector,porn,shopping,socialnet,spyware
acl banner dstdomain "/etc/squid3/ban/adv/domains" # Реклама, баннеры
acl banner_reg url_regex -i "/etc/squid3/ban/adv/urls"
acl dating dstdomain "/etc/squid3/ban/dating/domains" # Сайты знакомств
acl dating_reg url_regex -i "/etc/squid3/ban/dating/urls"
acl redirector dstdomain "/etc/squid3/ban/redirector/domains" # Редиректоры и прокси - извечное зло адмиов
acl redirector_reg url_regex -i "/etc/squid3/ban/redirector/urls"
#acl porno dstdomain "/etc/squid3/ban/porn/domains" # Порно
acl porno_reg url_regex -i "/etc/squid3/ban/porn/urls"
#acl shopping url_regex "/etc/squid3/ban/shopping/domains" # Сайты интернет-торговли и шоппинга
#acl shopping_reg url_regex -i "/etc/squid3/ban/shopping/urls"
acl socialnet dstdomain "/etc/squid3/ban/socialnet/domains" # Социальные сети
acl socialnet_reg url_regex -i "/etc/squid3/ban/socialnet/urls"
acl spyware dstdomain "/etc/squid3/ban/spyware/domains" # Опасные сайты
acl spyware_reg url_regex -i "/etc/squid3/ban/spyware/urls"
acl manual dstdomain "/etc/squid3/ban/manual.txt" # Вручную добавленные сайты для блокировки
acl manual_reg url_regex -i "/etc/squid3/ban/manual_reg.txt"
acl exceptions url_regex -i "/etc/squid3/exceptions/general.txt" # Сайты-исключения, перечень ресурсов
acl directurls url_regex -i "/etc/squid3/exceptions/nocache.txt" # Отдельные сайты не попадающие в кэш и имеющие прямой обмен с клиентами
# Индивидуальный подход к пользователям подготовим перечень IP и #доступных для них ресурсов
#acl ip123 src 192.168.1.123/32
#acl sites123 url_regex "/etc/squid3/exceptions/123"
#acl ip101 src 192.168.1.112/32
#acl sites101 url_regex "/etc/squid3/exceptions/101"
#acl ip80 src 192.168.1.80/32
#acl sites80 url_regex "/etc/squid3/exceptions/80"
acl workhours time 7:00-18:59 # Рабочее время плюс пара часов для "жаворонков" или "сов"
acl lunchtime time 13:00-14:00 # Обеденное время - разрешаем социальные сети для правильного усвоения пищи
acl media urlpath_regex -i \.mp3$ \.asf$ \.wma$ \.avi$ \.mov$ # Медийный контент
acl SSL_ports port 443
acl Safe_ports port 80 # http
acl Safe_ports port 1025-65535 # unregistered ports
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
# Исключения ставим в самый "верх" цепочки правил
http_access allow exceptions users
# Баннеры режем для всех без исключений
http_access deny banner
http_access deny banner_reg
# VIP-пользователям разрешено всё (проза жизни)
http_access allow vip
# Открываем для конкретного IP перечень конкретных сайтов
http_access allow
http_access allow
http_access allow
http_access deny spyware users
http_access deny spyware_reg users
#http_access deny porno users
#http_access deny porno_reg users
# Сайты знакомств и прочие "неопасные" прелести разрешаем в обед и нерабочее время…
http_access deny dating users !lunchtime
http_access deny dating_reg users !lunchtime
http_access deny redirector users !lunchtime
http_access deny redirector_reg users !lunchtime
#http_access deny shopping users !lunchtime
#http_access deny shopping_reg users !lunchtime
http_access deny socialnet users !lunchtime
http_access deny socialnet_reg users !lunchtime
http_access deny manual users !lunchtime
http_access deny manual_reg users !lunchtime
# Всё что не попало под наши фильтры - разрешаем для пользователей офиса
http_access allow users
http_access allow localhost
# Остальное запрещаем для всех
http_access deny all
icp_access deny all
htcp_access deny all
# Волшебное слово transparent ("прозрачный") уже некошерное и заменено на intercept
http_port 192.168.1.201:8080 intercept
hierarchy_stoplist cgi-bin ?
acl QUERY urlpath_regex cgi-bin \?
no_cache deny QUERY
no_cache deny directurls
cache_mgr inf@gemrussia.ru
cache_mem 256 MB
half_closed_clients on
maximum_object_size_in_memory 512 KB
maximum_object_size 8192 KB
# Задействовать ли кэширование на диск - решать вам. Часто "овчинка выделки не стоит".
#cache_dir ufs /var/spool/squid3cache 15000 16 256
access_log /var/log/squid3/access.log squid
cache_log /var/log/squid3/cache.log
cache_store_log none
# Начиная с версии 3.1 эта опция устарела и ротирует только cache.log
logfile_rotate 31
pid_filename /var/run/squid3.pid
# Сюда перехала ротация логов
debug_options ALL,1 rotate=31
refresh_pattern ^ftp: 1440 20% 10080
refresh_pattern ^gopher: 1440 0% 1440
refresh_pattern (cgi-bin|\?) 0 0% 0
refresh_pattern . 0 20% 4320
quick_abort_min 16 KB
quick_abort_max 16 KB
quick_abort_pct 95
negative_ttl 0 seconds
positive_dns_ttl 6 hours
negative_dns_ttl 1 minutes
# обезличим нашу локальную сеть, отключив передачу во внешний мир информации о том, что офис сидит за прокси.
forwarded_for off
# Исключим передачу некоторых видом заголовков
request_header_access From deny all
#request_header_access Referer deny all
request_header_access Server deny all
request_header_access User-Agent deny all
request_header_access WWW-Authenticate deny all
request_header_access Link deny all
# Меняем браузер на Chrome 12
header_replace User-Agent Mozilla/5.0 (Windows NT 6.1; WOW64) AppleWebKit/534.30 (KHTML, like Gecko) Chrome/12.0.742.112 Safari/534.30
cache_effective_user sydadm
cache_effective_group sysadm
visible_hostname gemrussia
# Распилим наш канал в 10МБ/сек. следующим образом…
delay_pools 5
# 1 класс - Наказываем нарушителей ограничением скорости (жёстким ограничением в 100КБ/сек.)
delay_class 1 1
delay_access 1 allow delaypool10
delay_parameters 1 100000/100000
delay_access 1 deny all
# 2 класс - VIP-пользователи, избранные сайты и пиринговые сети - без ограничений по скорости
delay_class 2 1
delay_access 2 allow vip
delay_access 2 allow peering
delay_access 2 allow directurls
delay_parameters 2 -1/-1
delay_access 2 deny all
# 3 класс - В нерабочее время - Интернет без границ (ну или почти без границ в 800КБ/сек.)
delay_class 3 2
delay_access 3 allow !workhours
delay_parameters 3 -1/-1 1500000/1500000
delay_access 3 deny all
# 4 класс - Ограничиваем резвых пользователей, активно скачиваемые сайты и медийный контент
delay_class 4 1
delay_access 4 allow delaypool
delay_access 4 allow delaysites
delay_access 4 allow media
delay_parameters 4 1000000/1000000
delay_access 4 deny all
# 5 класс - до 10MB загружают весь канал без ограничений, свыше только 50% от канала
delay_class 5 2
delay_access 5 allow office
delay_parameters 5 -1/-1 500000/10000000
delay_access 5 deny all
icp_port 8080
error_directory /usr/share/squid3/errors/Russian-1251
deny_info ERR_ACCESS_DENIED_BANNERS banner banner_reg
deny_info ERR_ACCESS_DENIED_DATING dating daring_reg
deny_info ERR_ACCESS_DENIED_REDIRECTOR redirector redirector_reg
deny_info ERR_ACCESS_DENIED_PORNO porno porno_reg
deny_info ERR_ACCESS_DENIED_SOCIALNET socialnet socialnet_reg
deny_info ERR_ACCESS_DENIED_SPYWARE spyware spyware_reg
deny_info ERR_ACCESS_DENIED manual manual_reg
always_direct allow directurls
hosts_file /etc/hosts
coredump_dir /var/spool/squid3
при запуске Squid ругается на первую строку: - bungled line 1: acl manager proto cache_object Далее по порядку начинает ругаться на строки, которые ссылаются на .txt. файлы. Подскажите пожалуйста, как быть, что делать, и что нужно исправить, что это заработало.
