Squid-Kit-2
Version vom 2. April 2026, 13:05 Uhr von Thomas.will (Diskussion | Beiträge)
Beispielkonzept
- Ein Teil der Clients bekommt vollen Zugriff.
- Alle anderen dürfen nur eingeschränkt auf bestimmte Webseiten zugreifen.
Bestimmte Rechner dürfen alles alle Anderen dürfen nur auf bestimmte Webseiten.
- Liste von IP-Adressen, die uneingeschränkt surfen dürfen.
- Diese Datei wird später als ACL eingebunden.
Diese Rechner dürfen alles
- vi /etc/squid/teamleitung.txt
172.26.213.24 172.26.213.33 172.26.213.49
- Liste von gesperrten Webseiten oder Begriffen.
- url_regex prüft URLs auf diese Einträge.
Der Rest bekommt Einschränkungen welche Seite sie aufrufen dürfen.
- vi /etc/squid/badsites.txt
bild.de sex www.faz.net
- Einbinden der Dateien als ACL in Squid.
- src = IP-Filter, url_regex = URL-Filter.
In die squid.conf kommen nun die acls
acl teamleitung src "/etc/squid/teamleitung.txt" acl badsites url_regex "/etc/squid/badsites.txt"
- Regeln werden von oben nach unten abgearbeitet.
- Erst erlauben, dann verbieten, dann Standardregeln.
Anwenden der acls
http_access allow teamleitung http_access deny badsites http_access allow it-dmz http_access allow it-lan
Authentifizierung
- Zusätzliche Absicherung des Proxys durch Benutzeranmeldung.
- Verhindert Nutzung durch nicht autorisierte Clients.
Zur Vermeidung von ungewollten Zugriffen lässt sich in Squid auch eine Authentifizierung erzwingen
Installation von htpasswd
- Werkzeug zur Erstellung von Benutzer/Passwort-Dateien.
- Wird für Basic Authentication verwendet.
- apt install apache2-utils
Erstellen einer Passwort Datei
- Erstellt eine neue Passwortdatei mit dem ersten Benutzer.
- -c darf nur beim ersten Aufruf verwendet werden.
- htpasswd -c /etc/squid/password martha
- Fügt einen weiteren Benutzer zur bestehenden Datei hinzu.
- Die Datei wird nicht überschrieben.
- htpasswd /etc/squid/password leroy
| Option | Bedeutung |
|---|---|
htpasswd |
Programm zur Verwaltung von Benutzerdateien |
-c |
Erstellt neue Datei (überschreibt bestehende!) |
passwordfile |
Speicherort der Benutzerdatei |
username |
Benutzername |
Änderungen an der squid.conf
- Aktiviert Basic Authentication in Squid.
- Benutzer müssen sich am Proxy anmelden.
Folgende Einträge werden am Anfang der squid.conf eingefügt:
auth_param basic program /usr/lib/squid/basic_ncsa_auth /etc/squid/password auth_param basic children 20 startup=0 idle=1 auth_param basic concurrency 0 auth_param basic credentialsttl 500 seconds auth_param basic realm it2XX proxy server auth_param basic casesensitive off
acl ncsa_users proxy_auth REQUIRED http_access allow ncsa_users
| Option | Bedeutung |
|---|---|
auth_param |
Definiert Authentifizierungsparameter |
basic |
Verwendet HTTP Basic Authentication |
program |
Externes Authentifizierungsprogramm |
/usr/lib/squid/basic_ncsa_auth |
Prüft Benutzer/Passwort |
/etc/squid/password |
Datei mit Zugangsdaten |
children |
Anzahl paralleler Auth-Prozesse |
concurrency |
Gleichzeitige Anfragen pro Prozess |
credentialsttl |
Gültigkeitsdauer Login (Cache) |
realm |
Name der Login-Anzeige im Browser |
casesensitive |
Groß-/Kleinschreibung beachten oder nicht |
Time
- Zeitbasierte Steuerung von Zugriffen.
- Erlaubt Regeln nur zu bestimmten Uhrzeiten.
- Um eine Website zu einer gewissen Zeit freizugeben, benutzt man "time"
erstellen der acl
- Definiert ein Zeitfenster.
- Format ist HH
- MM-HH:MM.
acl break-time time 12:00-13:00
erstellen der http_access
- Verknüpft Zeitregel mit Zugriff.
- Nur im Zeitfenster wird Zugriff erlaubt.
http_access allow badsites break-time
- In diesem Beispiel werden gesperrte Seiten mittags freigegeben.
- In diesem Beispiel werden die bad-sites um 12:00-13:00 freigeschaltet