Политика доступа к доменам в альтераторе proxy как ее понимать?

[flint1975]

Столкнулся сегодня с необходимостью заблокировать доступ к vkontakte.ru и ужаснулся.
По умолчанию - у всех групп стоит политика "разрешить доступ" и при этом интернет есть.
Но выше написано:

Для каждой из выбранной группы может быть задана политика разрешения или запрета на доступ к указанным в поле внизу доменам.

Т.е. предполагается что если ничего не указано, то доступа нет никуда при установленной политике "разрешить доступ"!!! (или это не так?) (по факту - при установках по умолчанию - доступа быть не должно, а он есть :) )

И как работает политика, когда она определена для двух групп: "все пользователи" и "авторизованные пользователи" - Объединяется или пересекается?
Имеется в виду: есть "пользователь" находящийся в группе "internetenable" и соответственно при доступе - он является "авторизованным пользователем".
 Для группы "internetenable" задана политика : можно везде, кроме "site1.com, site2.com"
для группы "авторизованные пользователи" : нельзя никуда, кроме "mydomen.com"
Куда в итоге можно будет ходить "пользователю"?

Попытки экспериментировать привели к еще большей путанице :)
Заранее извиняюсь за "тупоголовость"

[asket]

Модуль прокси- один из самых бесполезных. Лучше все-таки ручками в конфиге.

[flint1975]

Можно и ручками! но мне это надо объяснить руководителю, чтобы он сам мог добавлять и разрешать домены!

Неужели никто не знает?!

[Skull]

Можно и ручками! но мне это надо объяснить руководителю, чтобы он сам мог добавлять и разрешать домены!

В документации описано. Пробуйте.

[flint1975]

В документации написано:

Настройка прокси-сервера осуществляется в модуле ЦУС «Прокси-сервер» (раздел «Серверы»).
За дополнительной информацией по настройке обращайтесь к встроенной справке модуля ЦУС.

Встроенную справку я уже приводил цитировал выше!

Куда еще можно посмотреть?

[flint1975]

Путем длительных экспериментов выяснил следующее:
alterator-squid работает некорректно!
Начало эксперимента:
1. на чистую машину поставил Школьный сервер 5.0.2
2. обновился методом: apt-get dist-upgrade
3. не без геммороя подключил USB modem ZTE MF112 (эти танцы с бубном опишу отдельно)
4. настроил через веб интерфейс: домен, пользователей (2-х admin и user). Групп не создавал! Аутентификация - kerberos+PAM
5. отключился от офисного шлюза и проверил прокси - работает и везде пускает! (у всех пользователей стоит разрешить доступ, поля, где надо указывать домены - пустые)
Собственно эксперимент:
6. группе "все пользователи" назначаю политику "запретить доступ", сохраняю параметры. Потом в консоли:

Код: [Выделить]

[root@comp-Core2-Duo-e031a0 ~]# service squid restart
Stopping squid service:                                                 [ DONE ]
Starting squid service: 2011/09/10 21:07:27| aclParseAccessLine: ACL name '' not found.
FATAL: Bungled squid.conf line 687: http_access allow all !
Squid Cache (Version 3.0.STABLE19): Terminated abnormally.
CPU Usage: 0.024 seconds = 0.008 user + 0.016 sys
Maximum Resident Size: 0 KB
Page faults with physical i/o: 0
                                                                        [FAILED]7. Возвращаю обратно политику - все ОК, работает!
8. то же самое происходит и с группой "авторизованные пользователи", только ошибка конфига в другой строке, но суть та же - восклицательный знак в конце строки, а должен быть перед аргументом.
9. для группы "admin" устанавливаю политику "запретить доступ" указываю домен ".1clab.com .google.ru"
после перезапуска сквида есть доступ везде, в том числе и на закрытые домены
10. меняю политику на разрешить доступ доступа нет никуда, в том числе и на эти домены.
11. ставлю значения, как были по умолчанию, политика "разрешить" , список доменов очищаю. После перезапуска сквида доступа у пользователя admin нет никуда.
12. меняю политику на запретить - доступа нет!
13. удаляю пользователя admin, группа админ исчезает в списке групп, а в настройках прокси становится группой "#f" и не удаляется!
14. создаю пользователя admin, доступа в интернет нет!!!

[flint1975]

Обещанные танцы с бубном:
в течение 2-х часов курил google.ru, форум и документацию.
установив usb-modeswitch и udev-extras
ttyusb* - не появляется, экспериментировал с файлами /etc/usb_modeswitch.d/19d2:2000
и usb_modeswitch.conf по различным вариантам из googla - безрезультатно
установился только когда "открутил" у модема CD и кардридер - тогда установился и заработал через etcnet
Установился как 19d2:0016 - вопреки ожиданию 19d2:0031

P.S. Хотя, вчера, на свежем kdesktop 6.0 установился сам без вопросов, только в нетворк менеджере пришлось руками установить соединение.

[flint1975]

В документации описано. Пробуйте.

А можно пожалуйста меня ткнуть носом, а то я так и не нашел.

и еще, я эксперимент проводил на школьном сервере 5.0.2, а в кентавре этот модуль тот же или обновлен, просто нет пока возможности повторить эксперимент на кентавре.

[Skull]

А можно пожалуйста меня ткнуть носом, а то я так и не нашел.

https://localhost:8080/
Не выбирая ни один модуль слева, нажимаем кнопку «Справка»:

Параметры доступа к модулю

Для каждого отдельно взятого модуля можно настроить параметры доступа. При нажатии на ссылку «Параметры доступа к модулю...», расположенную внизу под каждым модулем, открывается интерфейс, позволяющий выбрать или удалить пользователей, которым необходимо предоставить или запретить доступ к определённому модулю. Таким образом при регистрации от имени пользователя в Центре управления системой он сможет управлять только теми настройками, доступ к которым ему разрешён.

[flint1975]

Изначально вопрос был о настройках доступа к доменам модуля прокси, а не "как дать руководителю доступ к этому модулю?"
Вот я и не нашел информации о том как правильно разграничивать доступ к отдельным ДОМЕНАМ, а не модулям, посредством модуля прокси.

самый главный вопрос - достаточно ли добавить суффикс домена в список и поставить политику разрешить доступ для нужной группы, чтобы доступ к другим доменам был закрыт?

[Skull]

Вот я и не нашел информации о том как правильно разграничивать доступ к отдельным ДОМЕНАМ, а не модулям, посредством модуля прокси.

Да, документация куцая, но ограничить доступ у меня получалось и без неё.

самый главный вопрос - достаточно ли добавить суффикс домена в список и поставить политику разрешить доступ для нужной группы, чтобы доступ к другим доменам был закрыт?

В 5.0 именно так и работало. Потом появились группы по умолчанию и поведение могло измениться. Лучше по таким вопросам писать в багзиллу на пакет alterator-squid (продукт: Sisyphus).

[blackback]

те же грабли... Squid + Ldap (PAM)
хочу студентам блокировать vk.com (к примеру)... создаю группу reject, завожу в группу аккаунт студента, лаборанта и технички =)
на группу reject ставлю так:

получается так:


как-бы работает, но есть проблема, vk.com блокирует всем юзерам...

так как же сделать конкретные ограничения отдельным пользователям... может что где дописать?