Melhor maneira de contornar o Squid para certos sites?

Question

Temos um proxy transparente do Squid funcionando, é ótimo, incrível, ouso dizer. O problema é quando alguns sites muito aleatórios parecem odiar o squid. Cox.com é um em particular. No momento, apenas definimos uma regra IPtables para encaminhar solicitações para esse IP e não enviá-lo para o cache do squid.

Seria incrível ter uma ACL de sites "ruins" que pudéssemos configurar no squid para que, se um cliente solicitar um desses sites, permita que eles acessem diretamente, evitando o proxy do squid. Isso é possível? Ou o iptables é a melhor solução?

    

Answer 1

Se você quiser EVITAR completamente o squid, adicionar exceções à regra de redirecionamento do proxy transparente iptables é o caminho.

Você pode, no entanto, criar um acl no squid para a diretiva always_direct . Dos documentos do squid :

acl local-servers dstdomain my.domain.net
always_direct allow local-servers

Ele não funciona em todos os casos, às vezes apenas evitando que o proxy faça isso completamente.

EDIT: Se você usar algo como shorewall você pode criar listas que fazem a exceção para o redirecionamento regra mais fácil de gerenciar, mas pode ser muito exagerado.

    

Answer 2

Eu não acho que a diretiva de configuração always_direct seja a escolha apropriada - ela simplesmente especifica não entre em contato com caches pai ou par, não afeta se o site em si será armazenado em cache.

Veja a FAQ do Squid: Como configuro o Squid para não armazenar em cache um arquivo específico? servidor? , com relação à diretiva cache e às ACLs

    

Answer 3

Use o TAG "cache" no squid.conf

/etc/squid/acl-dstdomain-localnetsites.cfg

# Squid ACL : localnetsites
# ACL type  : dstdomain
# ACL info  : List of destination sites in local network (Corp.sites in internal networks)
#
.sub.local1.com
.sub2.local2.com
.local3.com

/etc/squid/squid.conf

...
### ACL for all local sites
#
acl localnetsites       dstdomain "/etc/squid/acl-dstdomain-localnetsites.cfg"
...
### Access rule - Never cache local sites
#
cache deny localnetsites

    

Answer 4

No trabalho, usamos vários proxys diferentes em relação ao fluxo (qual aplicativo) envolvido e sua localização.

Em vez de fazer configurações por proxy, é o navegador do usuário que faz todo o trabalho para encontrar o proxy correto, através de a ajuda de um script de configuração automática de proxy.

Funciona muito bem, mas você pode ser forçado a revisar seu redirecionamento transparente para alcançá-lo.