Forum |  HardWare.fr | News | Articles | PC | S'identifier | S'inscrire | Shop Recherche
645 connectés 

  FORUM HardWare.fr
  Linux et OS Alternatifs

  squid et certains sites...

 


 Mot :   Pseudo :  
 
Bas de page
Auteur Sujet :

squid et certains sites...

n°137462
stf
Posté le 10-08-2002 à 23:38:49  profilanswer
 

hello,
 
voilà le topo :
- redhat 7.3,
- config iptables par shorewall avec flag MSS activé,
- transparent proxy http par squid 2.4.stable7
 
Ca marche bien sauf que sur certains sites, je tombe en timeout.
j'ai identifié au moins 2 sites à problèmes : www.fnac.com et www.nvidia.com, à priori, ils sont en .asp.
 
Sauf que www.microsoft.com, windows oblige, est aussi en .asp (le contraire m'aurait étonné) et fonctionne bien.
 
Certains penseront au MTU...
sauf premièrement, le flag MSS est censé réglé les problèmes de MTU.  
Deuxièmement, si je désactive le transparent proxy ( prerouting du port 80 vers le port 3128), les sites pré-cités fonctionnent normalement.
 
 
quelqu'un aurait-il une idée ?
 
merci d'avance
 
a+
 
stf

mood
Publicité
Posté le 10-08-2002 à 23:38:49  profilanswer
 

n°137477
bobor
tueur de n44b
Posté le 11-08-2002 à 00:24:19  profilanswer
 

j'ai la même config (squid transparent en mandrake 8.2). Aucun problème pour affiche les sites que tu cites (je viens de tester). Je ne peux pas t'aider plus. En fait je ne t'aide pas du tout mais la solution existe!!! :lol:


---------------
Gitan des temps modernes
n°137486
monokrome
nocturne
Posté le 11-08-2002 à 01:12:31  profilanswer
 

bobor a écrit a écrit :

j'ai la même config (squid transparent en mandrake 8.2). Aucun problème pour affiche les sites que tu cites (je viens de tester). Je ne peux pas t'aider plus. En fait je ne t'aide pas du tout mais la solution existe!!! :lol:




 
sisi tu peut, squid.conf  ;)

n°137489
s0d4
Je charge des sacs de sable
Posté le 11-08-2002 à 01:32:15  profilanswer
 

c koa squid ???

n°137490
stf
Posté le 11-08-2002 à 01:40:31  profilanswer
 

D'aprés ces quelques réponses constructives, je vois au moins que ca devrait normalement fonctionner.
 
Concernant le fichier de config, j'ai le squid.conf par defaut avec seulement l'activation des http_accel_**** pour le transparent proxy.
 

n°137505
bobor
tueur de n44b
Posté le 11-08-2002 à 10:29:31  profilanswer
 

Voici mon squid.conf. Ce n'est pas encore la version finale car je ne comprends pas tout et je ne trouve pas les éléments sur le web:
 
 

#port sur lequel le proxy écoute les clients Web
http_port 3128
 
#port sur lequel le proxy va dialoguer avec les autres proxy du réseau
icp_port 0
 
#ne pas utiliser le cache pour ? et .cgi
hierarchy_stoplist cgi-bin ? .cgi
 
 
#mémoire RAM allouée au proxy
cache_mem 8 MB
 
#taille maximale des fichiers qui seront enregistrés dans le cache
maximum_object_size 2 MB
 
#répertoire dans lequel seront stockés les fichiers enregistrés.
#dans cet exemple, la taille maximale de ce répertoire sera de 1Go - il y aura 16 sous divisions dans /var/spool/squid - et il y aura 256 divisions dans ces 16 sous divisions
cache_dir ufs /var/spool/squid 1000 16 256
#cache_dir ufs /var2/spool/squid 1500 16 256
 
#fichiers de log nécessaires pour contrôler le fonctionnement du cache
cache_access_log /var/log/squid/access.log
cache_log /var/log/squid/cache.log
cache_store_log /var/log/squid/store.log
cache_swap_log /var/log/squid/swap.log
 
 
#localisation de la table MIME de squid
mime_table /etc/squid/mime.conf
 
#informations relatives au processus
pid_filename /var/run/squid.pid
debug_options ALL,1
 
#listes d'accès
 
acl localhost src 127.0.0.1/255.255.255.255
acl net_station src 192.168.100.0/255.255.255.0
acl net_hometheater src 192.168.101.0/255.255.255.0
acl net_invite src 192.168.102.0/255.255.255.0
acl net_extern src 192.168.103.0/255.255.255.0
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80
acl Safe_ports port 21
acl Safe_ports port 443 563
acl Safe_ports port 70
acl Safe_ports port 210
acl Safe_ports port 1025-65535
acl Safe_ports port 280
acl Safe_ports port 488
acl Safe_ports port 591
acl Safe_ports port 777
acl CONNECT method CONNECT
acl forum url_regex (forum)
 
anonymize_headers allow Allow Authorization Cache-Control
anonymize_headers allow Content-Encoding Content-Length
anonymize_headers allow Content-Type Date Expires Host
anonymize_headers allow If-Modified-Since Last-Modified
anonymize_headers allow Location Pragma Accept
anonymize_headers allow Accept-Encoding Accept-Language
anonymize_headers allow Content-Language Mime-Version
anonymize_headers allow Retry-After Title Connection
anonymize_headers allow Proxy-Connection
fake_user_agent Nutscrape/1.0 (CP/M; 8-bit)
 
#autorisation/interdiction des listes définies
http_access allow manager localhost
http_access allow manager net_station
http_access allow net_station
http_access allow CONNECT
http_access allow net_invite
#http_access deny CONNECT !SSL_ports
http_access deny !Safe_ports
http_access deny manager
http_access allow net_extern
http_access deny all
 
#email du manager du cache
cache_mgr root@home.djice
 
#nom (virtuel) du cache
visible_hostname www-cache.home.djice
#rotation des fichiers log
logfile_rotate 4
 
 
#pour exclure du cache l'intranet (local)
#acl web-local dstdomain monlycee.fr
#always_direct allow web-local
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy  on
httpd_accel_uses_host_header on
httpd_accel_single_host off
icp_access deny all
log_mime_hdrs on
always_direct allow forum
ftp_user anonymous@free.fr


---------------
Gitan des temps modernes
n°137845
stf
Posté le 11-08-2002 à 22:54:51  profilanswer
 

j'ai grosso merdo le meme fichier de conf, sauf que j'utilise pas le anonymizer.
 
ca deconne toujours sur ces sites et aussi sur mp3guest.com.
 
en tcpdumpant l'interface de sortie vers le routeur, j'ai bien le paquet qui part, mais rien en retour, donc timeout.
 
remarque: le hierarchy_stoplist t'evite de forwarder a d'autres proxys. pour eviter le cache c'est le tag no-cache
 

n°137928
bobor
tueur de n44b
Posté le 12-08-2002 à 00:03:39  profilanswer
 

chez moi je ne rencontre aucun problème. regarde peut-être du côté des acl et surtout de l'ordre des acl.
 
Je n'ai pas compris ce que tu vulais dire avec le hierarchy_stoplist. Pour moi je ne cache pas les scripts cgi dans ma config.
 
Sinon j'avoue ne pas tout comprendre (je suis en ce moment sur les vpn et ftp et pas trop sur squid). En particulier, pourquoi des acl sur les ports sur squid? Il prend les requêtes sur le port 3128 et les envoie sur le 80. Reçois sur le 80 et reroute vers le 3128. Se rajoute également le port https pour les sites sécurisés. Mais le reste je ne vois pas en quoi il intervient (surtout que j'ai iptables derrière). Je comprendrais mieux si c'était un proxy socks, mais là...
 
Pour les anonimyzer, je n'ai pas trouvé de doc de "référence" pour leur description. Si tu as je suis preneur.
 
Sinon pose tonscript on verra plus clair.

n°138600
stf
Posté le 12-08-2002 à 18:49:12  profilanswer
 

Concernant la hierarchy_stoplit, si j'ai bien compris les commentaires dans le fichier de config : les proxy peuvent être connectés entre eux formant ainsi une hiérarchie. Si une requête ne se trouve pas dans le cache local, squid peut s'adresser aux proxys fils. Le tag hierarchy_stoplist permet d'éviter la requête vers les proxy de secours.
 
pour le tag no_cache, ca indique à squid de ne pas mettre en cache les acl définis, par exemple :

Code :
  1. acl LOCALWEB url_regex ^http://127.0.0.1
  2. no-cache deny LOCALWEB


ca fait planter squid apparement....
 
Tu as aussi le tag always_direct pour dire que certaines url doivent avoir un accés direct :

Code :
  1. acl TONSITE dstdomain tonsite.tondomain.fr
  2. always_direct allow TONSITE


 
Sinon, j'ai basculé le modem STH/pro en bridge forwading au lieu ppp. Sur le firewall/routeur/linux, j'utilise le pppoe fournit par FT (qui marche du premeier coup) au lieu de rp-pppoe (qui n'arrive pas a se connecter chez moi, pb de config surement...).  
Et là, ca marche sans problème pour les sites fnac.com et nvidia.com. En regardant les paquets SYN, la seule différence se situe au niveau des flags de l'entete IP (pas de bit-CWR, ni bit-ECN-echo, ni bit-FIN).
 
concernant les acl Safe_ports, je pense que ca concerne les ports que squid peut "proxyer" ainsi que les ports http pour faire ses requetes IMS.
 
a+
 
stf

n°139146
bobor
tueur de n44b
Posté le 13-08-2002 à 16:09:56  profilanswer
 

pour stoplist effectivement c'est ça.
 
Pour ton urlregex, n'indique pas "http://". Précise seulement l'urp, ou alrs précise la src ou la dst en 127.0.0.1
 
Pour les ports effectivement ce sont que les ports que squid peut gérer, mais je n'en comprends pas beaucoup. Le 488 (gss-http) par exemple, je ne vois pas ce qu'il gère. D'autres me sont totalement inconnus comme le 280. Actuellement j'ai la config par défaut. Les ports >1025, je suppose que c'est pour le ftp?
 
Le nntp, je pense que je peux le fermer car je ne (sais pas) l'utilise pas (trop vieux pour moi!)
 
Par contre ce que je cherche c'est configuré squid pour qu'il cherche des proxy externes valides parmis une liste et qu'il se logue dessus par soucis d'anonymat (je ne fais rien d'illégal mais la vie priée est de moins en moins respectée sans que personne ne gueule!). Je pense utiliser never_direct ey cache_peer. Là dois-je utiliser les requêtes icp??? A voir je travaille dessus dès que j'en aurai terminé avec mon proftp.
 
Pour les anonymizer, je cherche la commande pour autoriser les cookies? QQ la connait?
 
Pour ton prob de pppoe, moi je suis en pppoa (sur plaque ECI) avec une bewan et no soucis!


---------------
Gitan des temps modernes
mood
Publicité
Posté le 13-08-2002 à 16:09:56  profilanswer
 

n°139350
stf
Posté le 13-08-2002 à 21:24:17  profilanswer
 

a priori, pour les caches externes, il y a le icp_port et le htcp_port... Je ne saurais te dire la différence, je suppose que c'est 2 types de protocoles de communication entre proxys.
 
je vois pas trop l'interêt d'utiliser un cache externe parce que :
1) pour moi, l'utilité du proxy c'est d'économiser la bande passante sur l'interface connecté au net.
2) si tu pointes sur des proxys externes ca consommera ta BP, donc autant accéder directement au site. A moins que ca ne soient des proxys "intranet".
 
 
Concernant le rp-pppoe, j'ai un problème de timeout , et de PADO
zarb...dommage, j'aurais préféré utiliser un truc libre et maintenu au lieu du pppoe de www.nts.com , fourni par FT.
 
 

n°139703
bobor
tueur de n44b
Posté le 14-08-2002 à 18:14:03  profilanswer
 

pour le pppoe, je ne l'ai que très peu utilisé. En fait je testais simplement si mon modem alcatel usb marchait et c'était bon. Après je me suis mis à la bewan. Donc je ne peux pas te dire si lors de ma config pppoe tous les sites marchaient. Je l'ai testé une heure tout au plus.
 
Pour les proxy externes, effectivement cela ralentit sûrement, mais je souhaiterais cacher mon ip car c'est la foire aux "on récolte votre votre ip, on fournit au fbi ou à la cia" et patati et patata, "si vous mettez un CD audio, le titre est enregistré dans une base données"... Donc je veux faire une config de telle manière que tout soit anonyme. Je travaille donc sur la méthode qui me permettrait de savoir si tel proxy anonyme est reachable et alors de router les requêtes par ce proxy.


---------------
Gitan des temps modernes
n°185957
stf
Posté le 08-11-2002 à 20:02:59  profilanswer
 

bon le probleme "reapparait" :
 
si je fais ping www.fnac.com, j'obtiens :
 


PING www.fnac.com (195.42.251.40) from 212.195.204.73 : 56(84) bytes of data.
From 213.244.13.13 icmp_seq=1 Packet filtered
From 213.244.13.13 icmp_seq=4 Packet filtered
From 213.244.13.13 icmp_seq=7 Packet filtered
 
--- www.fnac.com ping statistics ---
8 packets transmitted, 0 received, +3 errors, 100% loss, time 7030ms
 


 
si je desactive squid , ca marche.
 
ca me saoule...


Aller à :
Ajouter une réponse
  FORUM HardWare.fr
  Linux et OS Alternatifs

  squid et certains sites...

 

Sujets relatifs
Aspirateur de sites sous linux[sendmail] Probleme : pieces jointes corrompues chez certains ...
probléme au niveau de la limitation des IP autorisées dans certains prAnonymat sous squid
Le Quid du Squid[Xine] pb pour lire certains DVD
Vous arrivez pas a vous connecter sur certains site ? solution insideQuestion sur Squid et NAT
question sur squid et ses ACLquestion sur squid.
Plus de sujets relatifs à : squid et certains sites...


Copyright © 1997-2022 Hardware.fr SARL (Signaler un contenu illicite / Données personnelles) / Groupe LDLC / Shop HFR