Запрет icq через Squid

[200cm3]

Добрый день, пытаюсь запретить icq через squid блокированием хоста, но ей видимо все равно, живучая какая та)

обычно все открывают порты 443,5190 для нее (если нужно чтоб аська могла конектится), я же, пытаюсь запретить, порты не открываю даже 80 что не мешает  браузеру работать по http и https (443) через прозрачный прокси.

подскажите ошибку.
конфиг скуида:

(Нажмите, чтобы показать/скрыть)

http_port 3128 transparent

acl user1 src 192.168.2.201

acl localhost src 127.0.0.1/255.255.255.255
acl all src 0.0.0.0/0.0.0.0

acl IcqDomain dstdomain icq.com aol.com
acl Icq src icq.com aol.com login.icq.com

acl IcqNet dst 64.12.0.0/16
acl IcqNet dst 207.200.0.0/16
acl IcqNet dst 205.188.0.0/16


acl CONNECT method CONNECT

access_log /var/log/squid/access.log squid
cache_dir ufs /var/spool/squid 2048 16 256

icp_port 0
cache_mem 64 MB
maximum_object_size 4096 KB


http_access deny CONNECT Icq
http_access deny IcqDomain
http_access deny IcqNet
always_direct deny IcqDomain
always_direct deny IcqNet

http_access allow user1

http_access allow localhost
http_access deny all   

visible_hostname proxy.ubunutu

[Y.dMiTrIy]

Точно сейчас не скажу, но Сквид понимает только протокол http, icq тоже его использует? разве не UDP?

[AnrDaemon]

Точно сейчас не скажу, но Сквид понимает только протокол http, icq тоже его использует? разве не UDP?

Не много же вы знаете про ICQ... она чего только не использует, чтобы обойти гадких системных администраторов...

[200cm3]

не я такой, жизнь такая (с)

задача стоит, надо выполнить 

[AnrDaemon]

не я такой, жизнь такая (с)

задача стоит, надо выполнить 

Разрешайте login.icq.com и login.messaging.aol.com на DNS в 127.0.0.1
Хрен какая сволочь законнектится.

[Karl500]

А если в настройках ip вбить? Не пройдет?

[AnrDaemon]

Абсолютной защиты не существует.
Если у вас паранойя вселенского масштаба, мониторьте изменения в зоне и забивайте все IP в отдельную таблицу нетфильтра.
И всё равно найдётся умелец, который обойдёт защиту. Через тот же вебсервис.

[Karl500]

Именно

[Sam Stone]

Прокси прозрачный?.. значит ася через нат проходит 100%. Правила покажи.

[200cm3]

уже дома, но правила только эти:

Код: [Выделить]

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A INPUT -i lo -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.2
iptables -t nat -A PREROUTING -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-port 3128


[AnrDaemon]

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.2

Второй роутер стоит? Пиши структуру сети.

[Y.dMiTrIy]

может проще по йапишнику прикрыть и все?

[Sam Stone]

уже дома, но правила только эти:

Код: [Выделить]

#!/bin/sh
echo 1 > /proc/sys/net/ipv4/ip_forward
iptables -A INPUT -i lo -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.2
iptables -t nat -A PREROUTING -i eth1 -p tcp -m multiport --dport 80,8080 -j REDIRECT --to-port 3128


Ну и что ты хочешь? у тебя все кроме хттп идет через НАТ. Как ты сквид не крути, асю с такими настройками не запретишь. Меняй правила iptables.

[Durman]

443 порт с прозрачным прокси не будет работать. обычная авторизация кажется тоже не будет.
т.е. редиректить 443 и 5190 на сквид смысла нет

[200cm3]

iptables -t nat -A POSTROUTING -o eth0 -j SNAT --to-source 192.168.1.2

Второй роутер стоит? Пиши структуру сети.

роутер 192.168.1.2  стоит временно, до появления 3го интрефеса на шлюзе (Ubuntu).

задача шлюза.

раздача на 2  подсети (разделенные) (пока раздача идет на одну сеть)
первая сеть (192.168.1.х) работает без ограничений ( работают аська, одноклассники и прочие прелести)
вторая сеть (192.168.2.х) рабачая сеть.. тут должны работать ограничения на некоторых пользоватаелей (у кого то нет icq, а кто-то не видет одноклассников, а некоторым все доступно)

вседствии выборочного доступа и пытался реализовать это на squid`е