ASIX/M11/UF3/EX3 - Historial de revisió

Guillem: Guillem ha mogut M11/UF3/EX3 a ASIX/M11/UF3/EX3 sense deixar una redirecció: Crear subnivell ASIX

2020-04-15T11:31:30Z

Guillem ha mogut M11/UF3/EX3 a ASIX/M11/UF3/EX3 sense deixar una redirecció: Crear subnivell ASIX

Guillem: /* Solució */

2019-02-14T18:01:24Z

Solució

Guillem: /* Solució */

2019-02-14T17:55:29Z

Solució

Guillem: /* Solució */

2019-02-14T17:53:17Z

Solució

Guillem: /* Solució */

2019-02-14T17:53:05Z

Solució

Guillem a 17:52, 14 feb 2019

2019-02-14T17:52:19Z

Guillem: /* Exercici 2 */

2019-02-11T17:28:52Z

Exercici 2

Guillem: /* Exercici 2 */

2019-02-11T17:28:13Z

Exercici 2

Guillem: /* Previ */

2019-02-11T17:27:54Z

Previ

Guillem: /* Previ */

2019-02-11T17:19:57Z

Previ

← Versió més antiga		Revisió del 18:01, 14 feb 2019
Línia 120:		Línia 120:

	Una vegada complert el requeriment, podem configurar Squid amb les noves ACLs i les aplicarem segons ens convingui:		Una vegada complert el requeriment, podem configurar Squid amb les noves ACLs i les aplicarem segons ens convingui:
		+	<source>
		+	#autenticació HTTP
		+	auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/passwd
		+	acl autenticacio_users proxy_auth REQUIRED
		+
		+	#Grups
		+	acl professors proxy_auth profe1
		+	acl alumnes proxy_auth alumne1
		+
		+	#Rang adreces profes i alumnes
		+	acl ip_professors src 192.168.1.20-192.168.1.40
		+	acl ip_alumnes src 192.168.1.50-192.168.1.254
		+
		+	#horari lectiu
		+	acl horari_lectiu time MWF 8:00-14:30 TH 15:00-18:30
		+
		+	#dominis
		+	acl prohibit_profes dstdomain "/etc/squid/prohibit-profes"
		+	acl permes_alumnes dstdomain "/etc/squid/permes-alumnes"
		+
		+	#Autenticacio profes
		+	http_access deny autenticacio_users professors ip_professors horari_lectiu prohibit_profes
		+	http_access allow autenticacio_users professors ip_professors
		+
		+	#Autenticacio alumnes
		+	http_access allow autenticacio_users alumnes ip_alumnes horari_lectiu permes_alumnes
		+
		+	#Fem un "deny all" si no es compleix cap ACL anterior
		+	http_access deny localnet
		+	</source>

	===Exercici 3===		===Exercici 3===

← Versió més antiga		Revisió del 17:55, 14 feb 2019
Línia 116:		Línia 116:

	====Solució====		====Solució====
		+	'''Requeriment previ:''' necessitarem tenir instal·lat un servidor web Apache amb utilitats per a poder fer que el servidor web pugui autenticar per HTTP a partir d'arxius ''.htaccess'' i ''.htpasswd''.
		+	<source>zypper in apache2 apache-utils</source>
		+
		+	Una vegada complert el requeriment, podem configurar Squid amb les noves ACLs i les aplicarem segons ens convingui:

	===Exercici 3===		===Exercici 3===

@@ Línia 88: / Línia 88: @@
 .ubuntu.com
 </source>
 <source>/etc/squid/prohibits</source>

@@ Línia 61: / Línia 61: @@
 Modificarem l'arxiu <code>/etc/squid/squid.conf</code> per a afegir-hi les ACLs corresponents i aplicar-les en l'ordre convenient
 <source>
-#Ordinador cap
+#Ordinador Guillem sense restriccions
 acl pc_guillem src 192.168.1.77
 http_access allow pc_guillem
-#dominis permesos
+#Webs ok
 acl dominis_OK dstdomain "/etc/squid/permesos"
 http_access allow dominis_OK

@@ Línia 59: / Línia 59: @@
 *No es permet l'accés als empleats a webs prohibides durant l'horari de treball, però si en horari de pausa.
 ====Solució====
 ===Exercici 2===

← Versió més antiga	Revisió del 11:31, 15 abr 2020
(Cap diferència)

@@ Línia 63: / Línia 63: @@
 ===Exercici 2===
 https://stackoverflow.com/questions/3297196/how-to-set-up-a-squid-proxy-with-basic-username-and-password-authentication
-*Volem configurar restriccions al servidor Proxy de manera que els usuaris tinguin l’accés controlat a internet:
+Volem configurar restriccions al servidor Proxy de manera que els usuaris tinguin l’accés controlat a Internet.
 *En una acadèmia petita es vol controlar l’accés a Internet dels usuaris. Tenim dos grups d’usuaris:
 :*Professors
 :*Alumnes
 *Tindrem dos blocs d’adreces IP:
 :*Professors: 192.168.1.20-192.168.1.40
 :*Alumnes: 192.168.1.50-192.168.1.254
 *Cal autenticar els usuaris, i per tant hi ha d’haver un fitxer d’usuaris. (Opcional: Un usuari no es pot autenticar si no és des d’una IP del seu grup).
 *L’horari de classes s’estipula en: 8h a 14:30h de dilluns a divendres i de 15h a 18:30h els dimarts i dijous.
 *Els professors:
 :*Podran accedir en horari de classe a totes les pàgines web excepte les prohibides al fitxer <code>webs-prohibides-profes</code>.
 :*Fora d’aquest horari, podran accedir a les pàgines web que necessitin sense restricció.
 *Els alumnes:
 :*Només podran accedir a les pàgines web autoritzades que apareixeran a un fitxer <code>webs-autoritzades-alumnes</code>.
 :*L’horari d’ús per a ells serà de 8h a 14:30h de dilluns a divendres i de 15h a 18:30h els dimarts i dijous.
 ====Solució====

← Versió més antiga		Revisió del 17:27, 11 feb 2019
Línia 48:		Línia 48:

	Es veurà quina regla es compleix al fitxer de logs. Cal desactivar aquestes opcions de registre un cop posem el proxy en producció real, ja que consumeix molts recursos.		Es veurà quina regla es compleix al fitxer de logs. Cal desactivar aquestes opcions de registre un cop posem el proxy en producció real, ja que consumeix molts recursos.
		+
		+	==Exercicis==
		+	===Exercici 1===
		+	*Volem aplicar restriccions de Squid en una petita empresa.
		+	*No hi ha autenticació i tots els controls es fan a partir de la IP d’origen.
		+	*Definiu l’horari de la pausa i la de treball.
		+	*Definiu també els fitxers de webs permeses i web prohibides.
		+	*Es vol que des de l’ordinador del jefe es pugui accedir sense restriccions (cap ni una) a internet.
		+	*Hi ha uns quants llocs web permesos per a qualsevol persona i a qualsevol hora.
		+	*No es permet l'accés als empleats a webs prohibides durant l'horari de treball, però si en horari de pausa.
		+	====Solució====
		+
		+
		+	===Exercici 2===
		+	https://stackoverflow.com/questions/3297196/how-to-set-up-a-squid-proxy-with-basic-username-and-password-authentication
		+	*Volem configurar restriccions al servidor Proxy de manera que els usuaris tinguin l’accés controlat a internet:
		+
		+	*En una acadèmia petita es vol controlar l’accés a Internet dels usuaris. Tenim dos grups d’usuaris:
		+	:*Professors
		+	:*Alumnes
		+
		+	*Tindrem dos blocs d’adreces IP:
		+	:*Professors: 192.168.1.20-192.168.1.40
		+	:*Alumnes: 192.168.1.50-192.168.1.254
		+
		+	*Cal autenticar els usuaris, i per tant hi ha d’haver un fitxer d’usuaris. (Opcional: Un usuari no es pot autenticar si no és des d’una IP del seu grup).
		+
		+	*L’horari de classes s’estipula en: 8h a 14:30h de dilluns a divendres i de 15h a 18:30h els dimarts i dijous.
		+
		+	*Els professors:
		+	:*Podran accedir en horari de classe a totes les pàgines web excepte les prohibides al fitxer <code>webs-prohibides-profes</code>.
		+	:*Fora d’aquest horari, podran accedir a les pàgines web que necessitin sense restricció.
		+
		+	*Els alumnes:
		+	:*Només podran accedir a les pàgines web autoritzades que apareixeran a un fitxer <code>webs-autoritzades-alumnes</code>.
		+	:*L’horari d’ús per a ells serà de 8h a 14:30h de dilluns a divendres i de 15h a 18:30h els dimarts i dijous.
		+
		+	====Solució====
		+
		+
		+	===Exercici 3===
		+	''SquidGuard'' és un "redirector" dissenyat per a Squid. - Un redirector és un programa extern que rep la URL que es vol accedir en la petició i fa una comprovació amb ella.
		+
		+	En el cas d’SquidGuard, mira si la URL es troba en alguna categoria en concret de la seva base de dades i si s’ha configurat alguna restricció, retorna a Squid una URL que apunti a una pàgina d’error. Si la URL no es limita, no es torna res a Squid. ''SquidGuard'' afegeix un filtrat per bases de dades de llocs web a Internet, que es pot afegir al filtrat que fa Squid per URL (amb paraules clau, per exemple).
		+
		+	Existeixen llistes a internet amb milers de llocs web organitzats per categories. Per exemple, categories com "comerç electrònic", "porno", "armes", ''etc''. que es poden permetre o denegar. Per exemple: http://www.shallalist.de/Downloads/shallalist.tar.gz
		+
		+	Tota la informació per a posar en marxa els filtres amb Squid es troba a:
		+	http://squidguard.org/
		+
		+	La forma més ràpida de posar-lo en marxa és:
		+	*<source>apt install squidguard</source>
		+	*Editar <code>/etc/squidguard/squidGuard.conf</code>
		+	*Baixeu i descomprimiu la BD d’un lloc web on hi hagi una ''blacklist'' per a squidGuard (http://squidguard.org/blacklists.html). Mireu de posar-la on indica el fitxer de configuració. Podeu veure la quantitat de llocs web catalogats.
		+	*Compileu la BD (-d per a veure els errors). Es crearan fitxers .db amb les dades dels fitxers de text, en un format binari apte per a fer cerques de forma ràpida (amb els fitxers de text funcionaria però moooooooolt lent).
		+	<source>squidGuard -d -C all
		+	chown -R <squiduser> /var/lib/squidguard/*</source>
		+
		+	Un fitxer bàsic d’exemple seria aquest. Cal assegurar-se que dbhome i logdir apunten a directoris correctes:
		+	<source>
		+	#
		+	# CONFIG FILE FOR SQUIDGUARD
		+	#
		+
		+	dbhome /var/lib/squidguard/db
		+	logdir /var/log/squidguard/logs
		+
		+	dest porn {
		+	domainlist porn/domains
		+	urllist porn/urls
		+	}
		+
		+	acl {
		+	default {
		+	pass !porn all
		+	redirect http://localhost/block.html
		+	}
		+	}
		+	</source>
		+
		+	*Cal assegurar-se que els directoris de la base de dades (categories) es corresponen als que escriviu al fitxer squidGuard.conf.
		+
		+	Podeu provar el funcionament sense Squid (prova a mà del redirector):
		+	<source>echo "http://www.example.com 10.0.0.1/ - - GET" \| squidGuard -c /etc/squidguard/squidGuard.conf -d</source>
		+	<source>
		+	2007-03-25 16:18:05 [30042] squidGuard ready for requests (1174832285.085)
		+	(aquí hi aniria la URL de redirecció si el lloc es bloca, si no, en blanc)
		+	2007-03-25 16:18:05 [30042] squidGuard stopped (1174832285.089)
		+	</source>
		+
		+	Ja només resta afegir el redirector a Squid. Busquem al fitxer de Squid el tag url_rewrite_program i el configurem així (busquem primer on es troba el programa squidGuard per posar la ruta correctament, així com la ruta del fitxer de configuració):
		+	<source>url_rewrite_program /usr/local/bin/squidGuard -c /usr/local/squidGuard/squidGuard.conf</source>
		+	====Solució====

@@ Línia 42: / Línia 42: @@
 http_access deny prohibit</source>
 L’efecte serà que si anem a youtube o una URL que contingui la paraula “sex”, es blocarà l’accés (sempre que sigui una petició http. Si és https ens tornarà un error del navegador).
 '''IMPORTANT:''' Per saber quina regla es compleix, podeu activar opcions de depuració (al fitxer squid.conf):