SQUID и блокировка https

собственно, тупой метод:

dig A gmail.com @ns1.google.com | grep -E "IN[[:blank:]]A"
;gmail.com.                     IN      A
gmail.com.              300     IN      A       209.85.149.83
gmail.com.              300     IN      A       209.85.149.17
gmail.com.              300     IN      A       209.85.149.19
gmail.com.              300     IN      A       209.85.149.18

1) банишь все эти ip 2) PROFIT!

что-то вроде http_access deny CONNECT <your_acl>

Сделайте прозрачный squid - и все. https «автоматом» не будет работать.

А вообще, я бы за одно место повесил урода, отдающего приказы блокировать gmail.

Этот метод я рассматривал в последнюю очередь. Спасибо.

Хм, а в acl предлагаешь прописать конкретный url? Попробую.

лол, сделай ещё раз, ничего не поменялось? :)

А вообще, я бы за одно место повесил урода, отдающего приказы блокировать gmail.

На это есть причины, поэтому я не спорю.

Т.е. gmail можно блокировать, а другие почтовики - нет?

они меняются местами только. Вопрос в том, что будет через неделю/месяц/год. Но в любом случае, это крайний метод.

с другими проще - они по http. Другие тоже блокировать.

они меняются местами только.

А у меня другие адреса выдаются по запросу :)

http://bgp.he.net/search?search[search]=Google&commit=Search

Вот по вот этим адресам запретить CONNECT более разумно IMO

заблокируй им интернет вообще - будь мужиком

вроде этого: acl <your_acl> dstdomain «/etc/squid/gmail_stop.acl»

да, я понял. Уже пробую :)

И с dstdomain ничего не помешает зайти на gmail по любому IP из диапазона Google.

не, так не работает. Придется по ip. Надо думать, что для CONNECT браузер резолвит ip локально.

Всем спасибо.

ключевое слово dig - он выбирает ВСЕ записи A. Они менятся будут только местами ;-). Хотя есть ушлые патченные DNS-сервера, но я сомневаюсь что гугл этим пользуется... А вот nslookup-ом проверять, да... Это трололо :-D

pinkbyte@oas1 ~ $ dig A gmail.com @ns1.google.com | grep -E "IN[[:blank:]]A"
;gmail.com.                     IN      A
gmail.com.              300     IN      A       209.85.149.83
gmail.com.              300     IN      A       209.85.149.17
gmail.com.              300     IN      A       209.85.149.18
gmail.com.              300     IN      A       209.85.149.19
pinkbyte@oas1 ~ $ dig A gmail.com @ns2.google.com | grep -E "IN[[:blank:]]A"
;gmail.com.                     IN      A
gmail.com.              300     IN      A       209.85.149.83
gmail.com.              300     IN      A       209.85.149.19
gmail.com.              300     IN      A       209.85.149.18
gmail.com.              300     IN      A       209.85.149.17
pinkbyte@oas1 ~ $ dig A gmail.com @ns3.google.com | grep -E "IN[[:blank:]]A"
;gmail.com.                     IN      A
gmail.com.              300     IN      A       209.85.149.17
gmail.com.              300     IN      A       209.85.149.19
gmail.com.              300     IN      A       209.85.149.83
gmail.com.              300     IN      A       209.85.149.18

Ну ты понел, да? :D

внешние прокси и впн никто не отменял.

так можно весь гугл забанить, а нужно только gmail. В любом другом случае я был бы тоже ЗА идею бана по ip, привязанным к AS, но не в данном случае

эмммм, да, тут согласен. Возможно придется банить и google.com, а это уже попахивает крайностью...

Они менятся будут только местами

Проверено, Google запускает веб-интерфейс почты на любом своём адресе. Так что dig-неdig пофиг

Да понял-понял. Но у меня с двух разных хостов в разных местах разный возврат этой команды.

Забанить не GET/POST etc., a CONNECT по этим адресам.

Возможно придется банить и google.com

ЛОЛ, ты мне напоминаешь меня же, когда я факбук на прокси в универе добавлял

«Блин, а чё адреса меняются?... Блин, а чё m.facebook.com тоже пускает?... Блин, да сколько у них CNAME'ов?... Блин, да сколько они могут меняться?... О, список всех подсетей факбука!!! О, а их не очень много... О, не пускает, ну и ладушки :)»

а вот про эту возможность я забыл, посыпаю голову пеплом

не, я стараюсь банить домен второго уровня :-). По AS(точнее по адресам на эту AS) баню только есть на 100% уверен, что ничего лишнего не срежу