HTTP-Proxy - Source IP basierte Deny Rules

[mmoeller]

Guten Tag,

ich bin grade dabei im Squid.conf Template manuell Rules einzutragen.

Beispiel: Aus dem Netz 192.168.1.0/24 sollen keine Zugriffe auf www.heise.de erlaubt werden:

acl blockeddomain dstdomain .heise.de
acl network1 src 192.168.1./24
http_access deny network1 blockeddomain

Resultat:
Greift nicht. Ich dachte weil der Dansguardian auf den Squid per localhost zugreift und der Squid garnicht mitbekommt wo ursprünglich der Connect herkam.
Testweise habe ich direkt auf den Squid port 49221 zugegriffen. Leider wurde die Regel auch hier ignoriert.

Nächster Test:
acl blockeddomain dstdomain .heise.de
http_access deny blockeddomain

= *.heise.de wird wie erwartet gesperrt

Habe ich noch etwas vergessen oder ist wirklich etwas faul.

Viele Grüße
Mathias Möller

[Erik]

Extras -> Advanced Settings -> Templates

Die betreffende Applikation ist "http_proxy", das Template "/etc/dansguardian/dansguardian.conf"

Dort gibt es eine Zeile, die wie folgt lautet:

Code: Alles auswählen

forwardedfor = off

Das setzen Sie auf "on" und klicken dann unten auf "Save Template". Jetzt werden auch ACLs funktionieren, die auf die Quelladresse des Pakets prüfen.

[mmoeller]

Super! Vielen Dank.

Wieder mal eine Schnelle kompetente Antwort

Viele Grüße
Mathias Möller

[mmoeller]

Mit folgender Option in der squid.conf ist es auch möglich dies beim Squid wieder auszuschalten, sodass die interne IP nicht als Forwarded For in den Header weitergesendet wird:

header_access x-forwarded-for deny all

Mit

header_replace x-forwarded-for 127.0.0.1

lässt sich der Wert auch fälschen