Exemplo de uma configuração real do Squid

Abaixo um trecho de uma configuração real do Squid. As linhas estão numeradas para podermos descrever o que cada uma faz.

1. acl transito time 05:00-09:00
2. acl cameras dstdomain -i '/etc/squid3/cameras.lst'
3. acl CONNECT method CONNECT
4. acl site_proibido dstdomain -i '/etc/squid3/site_proibido.lst'
5. acl url_proibida url_regex -i '/etc/squid3/url_proibida.lst'
6. acl ip_suporte src 172.20.120.0/24
7. acl ip_liberado_dropbox src 172.20.250.50
8. acl ip_liberado_dropbox src 172.20.80.7
9. acl ip_liberado_dropbox src 172.20.30.27
10. acl ip_liberado_4shared src 172.20.110.4/31
11. http_access deny cameras !transito
12. http_access deny site_proibido !ip_suporte !ip_liberado_dropbox !ip_liberado_4shared
13. http_access deny url_proibida !ip_suporte !ip_liberado_dropbox
14. http_access deny CONNECT site_proibido !ip_suporte
15. http_access deny CONNECT url_proibida !ip_suporte

Na linha 11 nos bloqueamos (deny) o acesso aos sites da ACL “cameras” (relação de câmeras espalhadas pela cidade e que geram muito tráfego no link) menos (!) no horário das 05:00 até as 09:00. Essas câmeras são usadas pelo telejornal do canal de televisão onde trabalho.

Na linha 12 estamos bloqueando (deny) o acesso aos sites listados na ACL “site_proibido”, menos para a VLAN listada nas ACL “ip_suporte” e para as estações listadas nas ACL ip_liberado_dropbox e ip_liberado_4shared.

Na linha 13 estamos bloqueando (deny) o acesso às URLs que contém as regex listadas na ACL url_proibida, menos para a VLAN do suporte (ip_suporte) e para as estações listadas na ACL ip_liberado_dropbox.

Na linha 14 e 15 estamos bloqueando conexões aos sites site_proibido e url_proibida, menos para a VLAN do suporte. Esse tipo de bloqueio (CONNECT) deve ser feito para sites seguros (HTTPS), visto que, devido a criptografia, o Squid não consegue verificar dentro do pacote se há algum tipo de conteúdo impróprio.

Bem, agora que você já entendeu o jeitão do Squid, aqui vai uma dica: tente deixar o arquivo squid.conf o mais simples possível, pois quanto mais regras existirem, mais difícil será identificar em qual delas está sendo bloqueado o acesso.