Решено: Squid не пускает некоторые подсети. Доступ запрещен.

[Arkey]

Все вроде настроено правильно. Необходимо, чтобы squid пускал в интернет несколько подсетей, всего их 4 штуки. Однако на деле, пускает только одну. На остальные выдает, что URL не может быть доставлен, Доступ запрещен. Но мою подсеть, то пускает! Пускает сетку fin не пускает adm. Squid находится в подсети adm

Код: Выделить всё

acl manager proto cache_object
 acl localhost src 127.0.0.1/32
 acl to_localhost dst 127.0.0.0/8
 acl adm src 192.169.123.0/24    # Разрешаем наши подсети
 acl fin src 192.168.0.0/24
 acl obr src 192.168.101.0/24
 acl flv urlpath_regex -i \.flv$
 acl mov urlpath_regex -i \.mov$
 acl mp3 urlpath_regex -i \.mp3$
 acl wav urlpath_regex -i \.wav$
 acl ogg urlpath_regex -i \.ogg$
 acl asf urlpath_regex -i \.asf$
 acl avi urlpath_regex -i \.avi$
 acl mpeg urlpath_regex -i \.mpeg$
 acl SSL_ports port 443          # https
 acl SSL_ports port 563          # snews
 acl Rsync_ports port 873
 acl Jabber_ports port 5222 5223
 acl Safe_ports port 80          # http
 acl Safe_ports port 21          # ftp
 acl Safe_ports port 443         # https
 acl Safe_ports port 70          # gopher
 acl Safe_ports port 210         # wais
 acl Safe_ports port 1025-65535  # unregistered ports
 acl Safe_ports port 280         # http-mgmt
 acl Safe_ports port 488         # gss-http
 acl Safe_ports port 563         # snews
 acl Safe_ports port 591         # filemaker
 acl Safe_ports port 777         # multiling http
 acl Safe_ports port 631         # cups
 acl Safe_ports port 873         # rsync
 acl Safe_ports port 901         # SWAT
 acl CONNECT method CONNECT
 http_access allow adm
 http_access allow fin
 http_access allow obr
 http_access allow localhost
 http_access deny avi
 http_access deny wav
 http_access deny mp3
 http_access deny mpeg
 http_access deny flv
 http_access deny mov
 http_access deny ogg
 http_access deny asf
 http_access allow manager localhost
 http_access deny manager
 http_access deny !Safe_ports
 http_access deny CONNECT !SSL_ports !Jabber_ports !Rsync_ports
 http_access deny all
 icp_access deny all
 htcp_access deny all
 http_port 3128
 hierarchy_stoplist cgi-bin ?
 access_log /var/log/squid/access.log squid
 refresh_pattern ^ftp:           1440    20%     10080
 refresh_pattern ^gopher:        1440    0%      1440
 refresh_pattern (cgi-bin|\?)    0       0%      0
 refresh_pattern .               0       20%     4320
 icp_port 3130
 error_directory /usr/share/squid/errors/Russian-1251
 coredump_dir /var/spool/squid

Дистрибутив ALTLinux 4.0 Server, вот лог:

Код: Выделить всё

1245399756.737      0 192.168.123.9 TCP_DENIED/403 1362 GET http://yandex.ru/ - NONE/- text/html

Попробовал вместо "http_access deny all" прописать "http_access allow all" и закоментить "http_access allow adm", "http_access allow fin", "http_access allow obr", то, конечно, пускает всех. Что не очень гуд. "http_access deny !adm !fin !obr" пускает только fin, adm не пускает (в чем собственно и проблема), obr не проверял.

[neol]

acl adm src 192.169.123.0/24
192.168.123.9 TCP_DENIED/403

[Arkey]

EPIC FAIL

Надо отдохнуть. Заработало....

[bullit]

ну и какое было решение?

[Indarien]

ну и какое было решение?

acl adm src 192.169.123.0/24
192.168.123.9 TCP_DENIED/403

Сравните ACL.

[tornado2k]

скажите, а как вы добились, чтобы сквид видел все подсети? и чтобы, подсети видели друг друга?
привожу свой конфиг, где я мог ошибиться? (сети не видят друг друга, сети .1.0 и .2.0 не видят сквид - он в подсети .0.0 остался). Конфиг неполный, но здесь все acl, которые отвечают за айпишники локалки в целом...

Код: Выделить всё

acl all src 192.168.0.0/16
acl the_best src 192.168.0.0/24
acl teachers src 192.168.1.0/24
acl classes src 192.168.2.0/24

Если делаю так:

Код: Выделить всё

acl all src 192.168.0.0/16
acl the_best src 192.168.0.0/16
acl teachers src 192.168.1.0/16
acl classes src 192.168.2.0/16
delay_pools 3

delay_class 1 2
delay_parameters 1 -1/-1 -1/-1
delay_access 1 allow the_best
delay_access 1 deny all

delay_class 2 2
delay_parameters 2 32768/32768 32768/32768
delay_access 2 allow teachers
delay_access 2 deny all

delay_class 3 2
delay_parameters 3 32768/32768 5120/262144
delay_access 3 allow classes
delay_access 3 deny all

то все группы качают как the_best...с одной стороны хорошо все вият друг друга, так как подсеть по идее одна получилась, но почему игнорируются delay_access 2 allow teachers и delay_access 3 allow classes?...

[skor]

Вы вообще знаете что обозначает циферка 16 в конце 192.168.0.0/16 ?
И что 192.168.0.0/16 и 192.168.1.0/16 и 192.168.2.0/16 обозначают один и тот же диапазон адресов (192.168.0.0/16)?
И что у сквида правила срабатывают по самому первому совпадению, и дальше он не продолжает поиск?

PS:

и чтобы, подсети видели друг друга?

И причем здесь сквид?
PPS: и "реанимировать" топики полугодовой "свежести" - моветон.

[tornado2k]

все это здорово, конечно, но хотелось бы по существу...

[skor]

По существу