squid und unerlaubte externe zugriffe

[boxa]

hallo experten,

ich habe ein problem mit den sicherheitseinstellungen im squid. folgende situation:
squid sollte iegentlich nur als proxyserver den clients aus dem internen lan dienen 192.168.1.0 – 192.168.1.255.

Seit einiger Zeit habe ich in der access.log einträgen die z.B. so aussehen:
207.99.78.51 - - [13/Apr/2003:06:46:12 +200] „CONNECT 211.87.85.18:6588 http/1.0“ 0 0 TCP_MISS:NONE

wie kann es sein, dass eine externe ip-adresse über meinen squid surft.ok, mit iptables habe ich das nicht abgesichert, weil ich nicht weiß wie (noob). allerdings habe ich in der squid.conf diese einstellungen gemacht:

acl all src 0.0.0.0/0.0.0.0

…

http_access deny all (letzte regel im regelwerk)

warum kann trotzdem von außen zugegriffen werden?

[Stormbringer]

Hi,

weil Du mit

acl all src 0.0.0.0/0.0.0.0
alles zuläßt.

Setze es auf:

acl mein_net src 192.168.1.0/255.255.255.0
...
http_access allow mein_net
und den passenden Eintrag zu oben auf http_access deny all

Irgendeine vorher stehende Regel wird den Zugriff halt erlauben.
Squid arbeitet die squid.conf von oben nach untern ab, und sobald ein Eintrag paßt, wird dieser benutzt, gleichgültig was später noch aufgeführt ist.
Zusätzlich solltest Du den Zugriff auf port 3128 (default Wert) aus dem Internet heraus unterbinden -> mittels firewall/packet filter.

Gruß

[b-tommy]

moin;

ein anderer - meiner meinung besserer - ansatz ist, dass du squid einfach nur auf der internen netzwerkkarte respektive ip-adresse lauschen lässt...

damit ist jeder zugriff von aussen von vornherein ausgeschlossen...

der eintrag in der squid.conf würde etwa wie folgt aussehen:

http_port 192.168.0.1:8080



ciao

tommy

[joey.brunner]

zusaetzlich kannst du noch authentifzierung einbauen, ist sehr sinnvoll...


auth_param basic program /usr/bin/pam_auth
auth_param basic realm test
auth_param basic credentialsttl 2 hours

das waere die einfachste form.... du musst dann noch eine datei namens /etc/pam.d/squid erstellen, die folgenden inhalt hat:

#%PAM-1.0
auth required pam_stack.so service=system-auth
account required pam_stack.so service=system-auth

gruss joey