Крепкий орешек

Предлагаю вам этюдик, решить сразу который у меня не получилось. Очень симпатичная идея! Взято из уже упоминавшегося учебника эндшпиля Дворецкого:


А. Троицкий, 1935

Белые начинают (это очевидно!) и делают ничью (а вот это не очень очевидно :-)).
Дерзайте!

Занятная позиция

Намедни решал задачку из "Учебника эндшпиля" Марка Дворецкого. Удалось обнаружить дуаль в побочном варианте. Отличный этюдик! Вот он:

Е. Сомов-Насимович, 1936 г.



Решение:

1. Крg3! Л:f2! 2.Лh5+! Крg6 3. Лd5 Сb6 4. Лd6+ Крf5 5. Л:b6 Л:f3+! 6. Крg2!! ab 7. Кр:f3 с ничьей

Так вот небольшое дополнение: в случае 1. Крg1? Cb6 2.Лh5+ Крg6 3. Лh2 выигрывает не только 3...Л:f2, но и 3...Лb1+ 4.Крg2 С:f2 5. Кр:f2 Лb2+ 6.Крg3 Л:h2 7.Кр:h2 a5, и пешку не остановить.

Настройка wpa_supplicant на Ubuntu 8.04.2

Став недавно обладателем беспроводного роутера Asus WL-500gP v2, потребовалось настроить WPA2-Personal на Ubuntu 8.04.2 (на моем ноутбуке Dell 500). Для решения этой задачи я использовал следующие источники:

1. http://linuxwireless.org/ - информация о драйверах для вашего беспроводного сетевого адаптера.
2. HOWTO: Wireless Security с ubuntuforums.org.
   
3. Некоторое время провозился с настройкой post-up запуска wpa_supplycant, оказалось, что можно было исправить ошибку быстрее, воспользовавшись этой ссылкой.
   

Итого: Все работает! :-)

Решение проблемы с установкой прав на закачанные анонимусом файлы в vsftpd

Столкнулся с проблемой в vsftpd-2.0.6 (Ubuntu 8.04.2): при заливке файлов в директорию uploads, им выставляются права 600 (-rw-------) и обратно их он уже не получит :-). Погуглив некоторое время, нашел ответ здесь. Оказалось, это бага и в качестве временного решения нужно закомментировать строки chown_uploads=YES и chown_username=vasya в /etc/vsftpd.conf, после чего параметр anon_umask будет работать как положено :-)

Ссылки по теме:

1. Бага на Launchpad.net
2. man vsftpd.conf (5)

Установка Issue-tracker на Debian Lenny

Выражаю благодарность моему коллеге Максиму Степанчуку, который познакомил меня с этим приложением. Сайт Issue-Tracker находится здесь. Архив с приложением и руководство администратора можно скачать здесь.

• Для установки приложения необходимы установленные пакеты:

1. apache2 2.2.9-10 Apache HTTP Server metapackage
2. mysql-server 5.0.51a-15 MySQL database server (metapackage depending on the latest version)
3. mysql-client 5.0.51a-15 MySQL database client (metapackage depending on the latest version)
4. php5-mysql 5.2.6-5 MySQL module for php5
5. libapache2-mod-php5 5.2.6-5 server-side, HTML-embedded scripting language (Apache 2 module)

Как это сделать, описано например тут:
http://unixhome.org.ua/forum/index.php?showtopic=8

• Распаковываем архив issue-tracker-4.0.4.tar.gz в DocumentRoot http-сервера (обычно /var/www/html)

• Назначаем владельцем папки и группу владельца процесса веб-сервера:

chown -R www-data:www-data /issue-tracker-4.0.4

• Переименовываем config.php-default (находится в папке /issue-tracker-4.0.4/conf ):
  
  

  mv config.php-default config.php

• Правим в файле config.php параметры подключения к базе данных:

$db = array(
"type" => "mysql",
"host" => "localhost",
"port" => "3306",
"name" => "issue-tracker",
"user" => "issue",
"pass" => "password"
);

• Создаем базу данных (описано подробно в разделе Database setup руководства администратора Issue-tracker).

• Для решения проблемы с работой приложения под PHP 5 заменяем в следующих файлах 'date_format' на 'c_date_format' (в папке /var/www/issue-tracker-4.0.4):

./includes/functions/time.func.php
./includes/functions/errors.func.php
./includes/functions/file.func.php
./includes/functions/render.func.php
./includes/functions/debug.func.php
./modules/issues/hooks/funcs.php
./modules/issues/email.issues.php

• Для решения проблемы ввода русских символов комментируем следущую строку в файле ./includes/functions/render.func.php :

// $text = htmlentities($text);

Как установить SSH с аутентификацией при помощи публичного ключа в Debian Etch

Пер. с англ., источник - здесь

Подготовительные замечания.

Это мини-HOWTO объясняет, как установить SSH-сервер в Debian Etch с аутентификацией при помощи публичного ключа (и опционально с отключением входа по паролю). SSH - прекрасный инструмент для удаленного управления компьютерами на базе Linux. Он надежен и безопасен.
Нет никакой гарантии, что все будет работать в вашем конкретном случае. Все эти настройки применимы для Debian и производных от него систем! На других системах могут иметь место незначительные отличия.

Установка SSH на сервер.

Во-первых, мы установим SSH на наш сервер. Мы можем сделать это с помощью этой команды: (Заметьте, что вы должны иметь привилегии root, чтобы сделать это!)

apt-get install ssh

Подготовка нашей клиентской системы.

Во-вторых, мы выполним некоторые подготовительные действия на нашей клиентской машине. Этот PC будет использоваться для подключению к серверу. Итак, SSH-сервер был уже установлен на различные машины. На вашей рабочей станции мы устанавливаем ssh-клиента (который мы используем для подключения к серверу). Заметьте, что установка программ требует привилегий root! Если вы не вошли в систему как root, пожалуйста сделайте это сейчас! (su root и затем напечатайте ваш пароль). Затем установите клиента:

apt-get install openssh-client

Переключитесь обратно к сеансу для вашего нормального пользователя (не root, соответственно). Затем введите эти команды по порядку:

mkdir ~/.ssh
chmod 700 ~/.ssh
cd ~/.ssh

Мы сгенерируем нашу пару ключей, публичный и секретный ключи. Публичный ключ размещается на сервере, а вы входите в систему с вашим секретным ключом. Когда попросят, введите вашу парольную фразу (она будет необходима для будующего входа в систему, так что помните ее!):

ssh-keygen -t rsa -C "A comment... usually an email is enough here..."

Теперь мы скопируем публичный ключ (который мы уже сгенерировали только что выше) на наш (удаленный) сервер. Удаленный пользователь не должен быть root! Измените не-root пользователя по умолчанию в качестве удаленного пользователя. (Обратите внимание на двоеточие в конце строки! Это важно.)

scp -p id_rsa.pub remoteuser@remotehost:

Теперь мы зайдем в систему с помощью SSH и скопируем публичный ключ в правильное место:

ssh remoteuser@remotehost
mkdir ~/.ssh
chmod 700 ~/.ssh
cat id_rsa.pub >> ~/.ssh/authorized_keys
chmod 600 ~/.ssh/authorized_keys
mv id_rsa.pub ~/.ssh
logout

Мы должны удалить публичный ключ на рабочей станции, так как иначе SSH-клиент не разрешает нам войти на сервер. Итак, введите эту команду:

rm id_rsa.pub

И затем пробуем войти опять:

ssh remoteuser@remotehost

Если вы сделали все точно, как было определено выше, то у вас спросят парольную фразу. Введите ее, после чего вы войдете и получите совершенно безопасное SSH-окружение!

Выключение аутентификации по паролю.

Отключение ее - хороший способ иметь надежную установку SSH. После этого вы можете войти в систему только с помощью пары ключей, так что будьте осторожны, не потеряйте их! Это совершенно необязательно, но безопасно для активации! Но до того, как сделать это, пожалуйста убедитесь, что аутентификация на основе ключей работает "из коробки". Сядьте перед сервером (то есть не входите удаленно, так как мы должны перезапустить SSH позже...) и введите эти команды вручную как root:

cd /etc/ssh
cp sshd_config sshd_config.orig
nano sshd_config

У вас появится на экране текстовый редактор nano с открытым главным конфигурационным файлом OpenSSH. Измените эти строки (не беспокойтесь, если любая из этих строк имеет отметку "#" в начале строки; если отметка есть, просто удалите решетку):

PermitRootLogin yes
PasswordAuthentication yes
UsePAM yes

На эти:

PermitRootLogin no
PasswordAuthentication no
UsePAM no

Теперь сохраните файл с помощью сочетания клавиш Ctrl + 0 и перезапустите SSH-сервер:

/etc/init.d/ssh restart

Будьте осторожны: если вы отключите аутентификацию по паролю, то вы не сможете зайти в систему с помощью паролей! Только аутентификация с помощью ключа будет доступна!

Создание DVD-образов репозиториев Убунту

Пер. с англ., источник - http://www.howtoforge.com/dvd_images_of_ubuntu_repositories

1. Предварительные замечания

Это руководство было написано под вдохновением статей, которые я прочитал на http://cargol.net/%7Eramon/ubuntu-dvd-en. Также огромная благодарность Рамону Ацедо (Ramon Acedo) (реально первый, кто создал это HOWTO).
Статьи не доступны сейчас несколько недель. Я сохранил страницу для чтения в оффлайне. Итак...
Я нашел эту тему полезной. Я надеюсь, что она будет тоже полезна для вас.

2. Вступление

Это HOWTO предлагает простой способ создания DVD-образов http- или ftp- репозиториев Debian или Ubuntu.
Ubuntu по умолчанию не предлагает способа создания DVD, для чего нужно скачать пакеты с репозиториев main, universe, multiverse и/или restricted. С помощью содержащейся в этом HOWTO информации вы можете сделать это сами.
Наличие репозиториев Ubuntu или Debian на DVD может быть полезно тем пользователям, которые не имеют прямого доступа к Интернету, но которые, в свою очередь, могут получить доступ в некотором другом месте, чтобы скачать репозиторий и записать его на DVD.

3. Создание локального зеркала

Вы должны установить пакет debmirror:

sudo apt-get install debmirror

Теперь скачаем репозитории Ubuntu в локальную директорию. В примере ниже мы получаем срезы main, universe и multiverse репозитория для архитектуры i386.

debmirror --nosource -m --passive --host=archive.ubuntulinux.org --root=ubuntu/ --method=ftp --progress --dist=dapper --section=main,multiverse,universe --arch=i386 ubuntu/ --ignore-release-gpg

Вы можете изменить опции ниже в соответствии с вашими предпочтениями:

• --host - URL репозитория.
• --dist - версия дистрибутива вашей ОС (dapper, edgy, sarge, ...).
• --section - срез, зеркало которого вы хотите создать локально.
• --arch - архитектура вашего компьютера.

4. Разделение архива на каталоги размера DVD-носителя.

Репозитории, которые мы получили, слишком большие (около 30 Gb) для того, чтобы записать их на DVD, поэтому мы должны разделить их на отдельные части.
Утилита debpartial сделает это для нас.

sudo apt-get install debpartial

Создаем каталог, где будут размещаться отдельные части репозиториев.

mkdir ubuntu-dvd

И создаем дескрипторы пакетов для каждой отдельной части.

debpartial --nosource --dirprefix=ubuntu --section=main,universe,multiverse --dist=dapper --size=DVD ubuntu/ ubuntu-dvd/

Теперь мы должны поместить пакеты в каталоги, которые только что были созданы debpartial. Скрипт debcopy, который также поставляется с пакетом debpartial, сделает это. Этому скрипту необходим пакет ruby.

sudo apt-get install ruby

Если все ОК...

ruby debcopy ubuntu/ ubuntu-dvd/ubuntu0
ruby debcopy ubuntu/ ubuntu-dvd/ubuntu1
ruby debcopy ubuntu/ ubuntu-dvd/ubuntu2

Теперь каждый каталог (ubuntu0, ubuntu1 and ubuntu2) помещается на один DVD.

5. Создание ISO-образов.

Чтобы получить каталоги ubuntu0, ubuntu1, ubuntu2 в виде ISO-образов, готовых к прожигу на DVD, мы можем использовать команду mkisofs:

mkisofs -f -J -r -o ubuntu-dvd-0.iso ubuntu-dvd/ubuntu0
mkisofs -f -J -r -o ubuntu-dvd-1.iso ubuntu-dvd/ubuntu1
mkisofs -f -J -r -o ubuntu-dvd-2.iso ubuntu-dvd/ubuntu2

Теперь вы можете прожечь ISO-образы или примонтировать их. Добавьте их в файл /etc/apt/sources.list командой:

sudo apt-cdrom add

Теперь мы можем проверить новые репозитории...

sudo apt-get update
sudo apt-get upgrade

...и, если я объяснил вам все правильно, вы получите обновленную систему.

6. О скрипте 'debcopy'

Я слышал о некоторых, кто не может найти скрипт debcopy, упомянутый выше. В этом случае, создайте новый файл с именем debcopy в любом желанном месте:

gedit /your_path_to/debcopy

и скопируйте строки ниже в этот созданный файл:

#!/usr/bin/ruby
#
# debcopy - Debian Packages/Sources partial copy tool
#
# Usage: debcopy [-l]
#
# where is a top directory of a debian archive,
# and is a top directory of a new debian partial archive.
#
# debcopy searches all Packages.gz and Sources.gz under /dists
# and copies all files listed in the Packages.gz and Sources.gz
# files into from . -l creates symbolic links
# instead of copying files.
#
# Copyright (C) 2002 Masato Taruishi
#
# This program is free software; you can redistribute it and/or modify
# it under the terms of the GNU General Public License as published by
# the Free Software Foundation; either version 2 of the License, or
# (at your option) any later version.
#
# This program is distributed in the hope that it will be useful,
# but WITHOUT ANY WARRANTY; without even the implied warranty of
# MERCHANTABILITY or FITNESS FOR A PARTICULAR PURPOSE. See the
# GNU General Public License for more details.
#
# You should have received a copy of the GNU General Public License with
# the Debian GNU/Linux distribution in file /usr/share/common-licenses/GPL;
# if not, write to the Free Software Foundation, Inc., 59 Temple Place,
# Suite 330, Boston, MA 02111-1307 USA
#
require 'getoptlong'
require 'zlib'
require 'ftools'
$link = false
def usage
$stderr.puts "Usage: #{__FILE__} [-l] "
exit 1
end
def each (file, &block)
fin = Zlib::GzipReader.open(file)
fin.each do |line|
yield line
end
fin.close
end
def each_file (file, &block)
each(file) do |line|
if /Filename: (.*)/ =~ line
yield $1
end
end
end
def each_sourcefile (file, &block)
dir = nil
each(file) do |line|
case line
when /^Directory: (.*)$/
dir = $1
when /^ \S+ \d+ (\S+)$/
yield dir + "/" + $1
end
end
end
def calc_relpath (source, dest)
pwd = Dir::pwd
Dir::chdir source
source = Dir::pwd
Dir::chdir pwd
Dir::chdir dest
dest = Dir::pwd
Dir::chdir pwd
src_ary = source.split("/")
src_ary.shift
dest_ary = dest.split("/")
dest_ary.shift
return dest if src_ary[0] != dest_ary[0]
src_ary.clone.each_index do |i|
break if src_ary[0] != dest_ary[0]
src_ary.shift
dest_ary.shift
end
src_ary.size.times do |i|
dest_ary.unshift("..")
end
dest_ary.join("/")
end
def do_copy(path)
if $link
pwd=calc_relpath(File.dirname($dest_dir + "/" + path), $source_dir)
File.symlink(pwd + "/" + path, $dest_dir + "/" + path)
else
File.copy($source_dir + "/" + path, $dest_dir + "/" + path)
end
end
def copy(path)
s=$source_dir + "/" + path
d=$dest_dir + "/" + path
if FileTest.exist?(d)
$stats["ignore"] += 1
return
end
if FileTest.exist?(s)
File.mkpath(File.dirname(d))
do_copy(path)
$stats["copy"] += 1
else
$stats["notfound"] += 1
$stderr.puts s + " not found."
end
end
opts = GetoptLong.new(["--symlink", "-l", GetoptLong::NO_ARGUMENT],
["--help", "-h", GetoptLong::NO_ARGUMENT])
opts.each do |opt,arg|
case opt
when "--symlink"
$link = true
when "--help"
usage
end
end
usage if ARGV.size != 2
$source_dir = ARGV.shift
$dest_dir = ARGV.shift
if $link
$source_dir = Dir::pwd + "/" + $source_dir unless $source_dir =~ /\A\//
$dest_dir = Dir::pwd + "/" + $dest_dir unless $dest_dir =~ /\A\//
end
$stats = {}
$stats["ignore"] = 0
$stats["copy"] = 0
$stats["notfound"] = 0
open("|find #{$dest_dir}/dists -name Packages.gz") do |o|
o.each_line do |file|
file.chomp!
print "Processing #{file}... "
$stdout.flush
each_file(file) do |path|
copy(path)
end
puts "done"
end
end
open("|find #{$dest_dir}/dists -name Sources.gz") do |o|
o.each_line do |file|
file.chomp!
print "Processing #{file}... "
$stdout.flush
each_sourcefile(file.chomp) do |path|
copy(path)
end
puts "done"
end
end
puts "Number of Copied Files: " + $stats["copy"].to_s
puts "Number of Ignored Files: " + $stats["ignore"].to_s
puts "Number of Non-existence File: " + $stats["notfound"].to_s

Использование аутентификации в squidGuard

Пер. с англ., источник - http://www.squidguard.org/Doc/authentication.html

Иногда удобно разрешить разным пользователям различный тип доступа. SquidGuard имеет возможность указать, основываясь на имени пользователя, к каким ресурсам этот пользователь может иметь доступ.
Имеется два различных способа, как установить аутентификацию пользователя: на основе имени, предоставленном прокси-сервером squid, или используя роли LDAP (это подразумевает, что либо вы используете squidGuard 1.2.1 и выше, или имеете squidGuard, пропатченный вами с помощью LDAP-патчей Криса Фрея.

1. Аутентификация с помощью имен пользователей прокси-сервера squid

Начнем по порядку: чтобы сделать это, вы должны настроить ваш squid для аутентификации ваших пользователей. Простой способ добавить пользовательскую аутентификацию - использование старой утилиты ncsa_auth. Добавляя следующие три строки в ваш squid.conf, вы можете включить аутентификацию:

auth_param basic program /usr/libexec/squid/ncsa_auth \ /etc/squid/squid.passwd
acl password proxy_auth REQUIRED
http_access allow password

Пожалуйста, обратите внимание, что путь к вашему файлу паролей squid и к nsca_auth может отличаться в вашей системе. Тем не менее, вы можете изменить путь к вашему собственному файлу паролей на ваш собственный путь; nsca_auth имеет фиксированное месторасположение (используйте find или locate, чтобы получить корректный путь).
Имеются также другие значения аутентификации в squid. Дополнительные подробности смотрите на сайте прокси-сервера squid.
Чтобы предоставить доступ на основании пользовательских имен, у вас есть два варианта: вы можете непосредственно перечислить пользователей в тэге user вашего файла squidGuard.conf, или вы можете ввести имя файла (рекомендуется, если имеем дело с множеством имен) и использовать тэг userlist. В обоих случаях вы должны включить определения пользователя внутри определенного acl. Следующие два примера показывают, как использовать тэги user и userlist:

src department1 {
user maria josef susanna micheal george1
}

В этом примере пять пользователей группируются в источник  department1. Это источник используется, чтобы предоставить или запретить доступ определенным категориям (смотрите определение acl после следующего примера).
Вы можете использовать числа в именах пользователей. К сожалению, в текущее время есть баг squidGuard, выдающий ошибки при использовании имен пользователей, состоящих полностью из чисел. В этом случае используйте тэг userlist (см. след. пример), чтобы урегулировать пользовательский доступ:

src department1 {
userlist dep1users
}

В этом примере конфигурация squidGuard указывает на файл, называемый здесь dep1users, где могут быть найдены пользователи. Расположение файла со списком пользователей связано с путем, который вы определили для параметра dbhome.
Файл со списком пользователей - это обычный текстовый файл в следующем формате:

user1
user2
user3
user4
user5

и т.д.

Когда вы уже определили ваших пользователей, вы должны настроить, какой(ая) пользователь (группа) имеет доступ к какому назначению (destination). Это делается в части acl вашего конфигурационного файла squidGuard.conf:

acl {
department1 {
pass !porn !hacking !warez all
redirect http://localhost/cgi/blocked?clientaddr=%a&clientuser=%i&clientgroup=%s&url=%u
}
default {
pass white none
redirect http://localhost/cgi/blocked?clientaddr=%a&clientuser=%i&clientgroup=%s&url=%u
}
}

В этом примере пользователь department1 может иметь доступ ко всем веб-сайтам, кроме тех, которые перечислены в категориях porn, hacking и warez. Все остальным пользователям доступ разрешен только к тем ресурсам, которые перечислены в категории white (белый список). Конечно же, вы можете определить назначения до установки acl. :-)

2. Использование LDAP.

Точно так же, как в примерах до этого, вы должны определить окружение src, где может быть найдена пользовательская информация. Вдобавок вы должны определить некоторые специфичные тэги LDAP: вы должны назвать верхний уровень дерева каталога LDAP и пароль для доступа к пользовательской информации (если только вы не используете анонимный режим (anonymous bind), который с точки зрения безопасности всегда не рекомендуется).
Существуют следующие LDAP-специфические тэги:

• ldapusersearch - Это ключевое слово входит в конфигурационный блок src и определяет URL LDAP для поиска неизвестного имени пользователя. Вы можете определить множество URL для LDAP в блоке источника src. Используйте '%s', чтобы определить имя пользователя в вашем URL для LDAP. Если поиск возвратит запись, пользователь считается "найденным", иначе проверяется следующий URL в блоке src. SquidGuard кэширует состояние "найден" для каждого поиска, даже когда имя пользователя не найдено. Кэш действителен в течение времени, которое задано параметром ldapcachetime (в сек.).
  

• ldapcachetime - это глобальное ключевое слово определяет число секунд для кэширования результатов поиска LDAP до соединения с сервером LDAP снова. Это ключевое слово глобально и должно находиться вне любых блоков src/dest/rule. Делая это значение достаточно низким, можно смоделировать сходную с реальностью группировку в LDAP без перезапуска squidguard. Рекомендованное значение: 300
  

• ldapbinddn - Глобальное ключевое слово, определяющее DN (Distinguished Name, уникальное имя), для того чтобы связаться с сервером LDAP.

• ldapbindpass - Пароль для связи с LDAP-сервером. Это глобальное ключевое слово.
  

• ldapprotover - Описывает версию протокола LDAP. Это глобальное ключевое слово. Используйте его, чтобы заставить squidGuard соединиться с LDAP-сервером, который имеет определенную версию протокола. Если вы не можете использовать определенную версию протокола, squidGuard перейдет в аварийный режим. Допустимые параметры: 2 или 3.
  

Примерная конфигурация:

ldapbinddn cn=root, dc=example, dc=com
ldapbindpass myultrasecretpassword

# ldap cache time in seconds
ldapcachetime 300

src my_users {
ldapusersearch ldap://ldap.example.com/cn=squidguardusers,ou=groups,dc=example,dc=com?memberUid?sub?(&(objectclass=posixGroup)(memberUid=%s))
}

Когда вы используете LDAP для аутентификации, убедитесь что параметры вашей строки ldapusersearch соответствуют пользовательским настройкам на вашем сервере LDAP. Если имена ваших пользователей не сохранены в "MemberUid", то "uid" вы должны соответственно адаптировать в вашей строке ldapusersearch . То же самое справедливо для значений, которые вы вводите для "objectclass". Вы, возможно, имеете что-то наподобие "Person" или "InetOrgPerson" вместо этого.
Если значение ldapusersearch не совпадает с вашими конфигурационными настройками, поиск завершится с ошибкой.

SquidGuard - примеры конфигурации

Сводка недоступна. Нажмите эту ссылку, чтобы открыть запись.

Использование регулярных выражений в squidGuard

Перевод с англ., оригинал - http://www.squidguard.org/Doc/expressionlist.html

Вам никогда не удастся добавить все возможные плохие страницы в ваш файл domains или urls. Чтобы добиться дополнительного блокирования, могут быть использованы списки регулярных выражений. В списке регулярных выражений вы вводите слова, которые наиболее вероятно являются частью нежелательных доменов и URL. Каждый домен и URL будет сравниваться с строками, найденными в сконфигурированных списках регулярных выражений.
Внимание: Используя списки регулярных выражений, убедитесь, что вы не блокируете нормальные сайты. В дополнение к этому, имейте в виду, что использование этих списков может в результате значительно снизить производительность.

1. Добавление списков регулярных выражений в конфигурацию.

Списки регулярных выражений включаются в тэг dest. Пример ниже показывает соответствующую часть конфигурационного файла squidGuard.conf:

dest porn {
domainlist porn/domains
urllist porn/urls
expressionlist porn/expressions
}

Вы можете добавить список регулярных выражений для каждого определенного места назначения (destination), если вы находите это необходимым (напоминаем о производительности!). SquidGuard ожидает файл регулярных выражений, связанный с определенным параметром dbhome так же, как файлы доменов или URL.

2. Синтаксис списков регулярных выражений.

Формат файла списка регулярных выражений строится на основании регулярных выражений, описанных в man-странице regex(5). Наиболее интересны следующие:

.  - Совпадает с каким-либо одиночным символом (используйте "\." для соответствия "."

[abc] - Совпадает с одним из символов ("[abc]" совпадает с одиночным символом "a" или "b" или "с")

[c-g] - Совпадает с одним из символов в диапазоне ("[c-g]" совпадает с одиночным символом "c" или "d" или "e" или "f" или "g"
"[a-z0-9]" совпадает с любой одиночной буквой или цифрой.
"[-/.:?]" совпадает с любым одиночным "-" или "/" или "." или ":" или "?").

? - Ни одного или один из предшествующего символов ("words?" совпадет с "word" или "words".

"[abc]?" совпадает с одиночным "a" или "b" или "c" или ничего (т.е. "").

* - Ни одного или более из предшествующего ("words*" совпадет с "word","words" и "wordsssssss".

".*" совпадет со всем, что угодно, включая пустую строку).

+ - Один или более символов из предыдущих ("xxx+" совпадет с последовательностью из трех и более символов "x").

(expr1|expr2) - Одно из выражений, которые, в свою очередь, может содержать в себе похожие конструкции ("(foo|bar)" совпадет с "foo" или "bar".
"(foo|bar)? совпадет с "foo" или "bar" или ни с чем (т.е. "").

$ - Конец строки ("(foo|bar)$" совпадет с "foo" или "bar", находящимися только в конце строки).

\x - Игнорировать специальное значение x, когда x - один из специальных символов регулярных выражений ".?*+()^$[]{}\" ("\." совпадет с одиночным ".", "\\" - с одиночным "\" и т.д.)

Строки списков регулярных выражений являются обычным текстом. Таким образом, начало блокирования возможных материалов сексуального содержания регулярным выражением, которое может выглядеть так:

(^|[-\?+=/_])(bondage|boobs?|busty?|hardcore|porno?|sex|xxx+)([-\?+=/_]|$)

Когда все установлено по вашему вкусу, примените изменения следующей командой:

squid -k reconfigure

3. Некоторые замечания и советы.

Если вы не будете строить ваши регулярные выражения очень-очень осторожно, есть большой риск , что вы получите раздраженных пользователей на вашу шею. Типичный пример: вы могли бы нечаянно блокировать "Essex", "Sussex", "breastcancer", "www.x.org" и т.д. в пылу блокирования порнографических материалов. На практике вы могли бы, вероятно, заменить некоторые из слов в примере выше некоторыми более ясными словами, связанными с порнографией, которые я не считаю уместным размещать в список, указанный выше.
Тогда как размер домена и списков URL оказывают незначительное воздействие на производительность, слишком много больших или сложных регулярных выражений будут быстро ухудшать производительность squidGuard. Хотя она может сильно зависеть от производительности соответствующей библиотеки, с которой скомпонован SquidGuard .
Существует набор тестовых файлов для группы возможных порнографических сайтов в samples/dest/adult в исходном каталоге, который вы можете использовать как стартовую точку, если блокировка порнографии - одна из ваших задач. Заметьте, пожалуйста: этот список очень старый и не предназначается для промышленных систем. Используйте их, чтобы протестировать ваш squidGuard. Для начальной установки список будет работать, но мы рекомендуем, чтобы вы просмотрели эти списки до их использования. Эти домены и URL собираются "автомагически" роботом. Не существует руководства к действию для оценки соответствующего контента. Следовательно, есть вероятность, что некоторые непорнографические сайты "просочатся" через фильтр.
Чтобы избежать публикации "полного руководства" запрещенных сайтов вашим пользователям, вы вероятно захотите защитить некоторые из следующих файлов, например:

chmod 640 /wherever/filter/db/dest/adult/*
chown cache_effective_user /wherever/filter/db/dest/adult/*
chgrp cache_effective_group /wherever/filter/db/dest/adult/*

где cache_effective_user и cache_effective_group - значения соответствующих тэгов, определенных в конфигурационном файле squid, squid.conf.

Расширенная конфигурация squidGuard

Перевод с англ., источник: http://www.squidguard.org/Doc/extended.html

Имеются несколько дополнительных параметров, чтобы сконфигурировать squidGuard в соответствии с вашими нуждами.

• Запрещение IP-адресов
  

Чтобы быть уверенным, что пользователи не могут обойти URL-фильтр простым использованием IP-адресов вместо полных определенных доменных имен (FQDN), вы можете добавить параметр !in_addr следующим образом в ваш acl:

acl {
default {
pass !in-addr all
redirect http://localhost/block.html
}
}

• Блокирование на основе времени
  

Имеется два пути определить дату и время, когда разрешается и запрещается доступ к веб-сайтам. Директива weekly используется для переопределения времени доступа, например разрешение веб-доступа и блокирование веб-сайтов после работы.
Используя директиву date, вы можете определить специальные дни, по которым может быть предоставлен доступ. Могу использоваться шаблоны имен.

time afterwork {
weekly * 17:00-24:00 # After work
weekly fridays 16:00-17:00 # On friday we close earlier
date *.01.01 # New Year's Day
date *.12.24 12:00-24:00 # Christmas Eve
date 2006.04.14-2006.04.17 # Easter 2006
date 2006.05.01 # Maifeiertag
}

Чтобы применить определенное время, вы можете использовать классификаторы within и outside соответственно. Теперь ваш acl выглядит так:

acl {
all within afterwork {
pass all
}
else {
pass !adv !porn !warez all
}
default {
pass none
redirect http://localhost/block.html
}
}

Это означает, что для каждого свободный доступ у веб-сайтам возможен в течение времени, определенного в afterwork. После этого времени пользователи не могут иметь доступ, что бы ни было определено в adv, porn и warez.

• Правила, основанные на исходных IP-адресах
  

Если вам необходимы политики для предоставления одним пользователям доступа к большему количеству веб-сайтов, чем другим, у вас есть разные варианты осуществления этой политики. Первый способ - определить списки acl с исходными IP-адресами. Это может работать, только если группы пользователей разделены по IP-адресам внутри вашей сети.
Предподожим, что это случай, когда вы можете сейчас определить исходный диапазон IP-адресов в вашем файле squidGuard.conf следующим образом:

src admins {
ip 192.168.2.0-192.168.2.255
ip 172.16.12.0/255.255.255.0
ip 10.5.3.1/28
}

Вы можете указать IP-адреса прямо также, как определение IP-диапазонов с использованием нотации "from-to", определяя маску подсети или используя аббревиатуру префикса маски подсети.
Примечание: Если у вас еесть несколько определений сетей для пользовательских групп, вы можете размесить эту информация в отдельном файле и просто прописать в вашем файле squidGuard.conf о расположении файла. В этом случае вы пишете в вашем squidGuard.conf:

src admins {
iplist adminlist
}

squidGuard посмотрит файл с именем adminlist, расположенный в любом месте, которое вы указали директивой dbhome. Альтернативно, вы можете определить абсолютный путь с вашим именем файла. Сам файл содержит информацию в следующем стиле:

192.168.2.0-192.168.2.255
172.16.12.0/255.255.255.0
10.5.3.1/28

• Журналирование событий блокирования доступа
  

Может представлять интерес, кто попытался получить доступ к блокированным сайтам. Чтобы проследить это, вы можете добавить директиву log в ваши определения src и dest в вашем файле squidGuard.conf. Если задано только имя файла, файл ищется в каталоге, определенном директивой logdir.

dest porn {
domainlist porn/domains
urllist porn/urls
log pornaccesses
}

squidGuard - параметры запуска

Перевод с англ., источник: http://www.squidguard.org/Doc/runtimeops.html

SquidGuard допускает следующие опции:

-v -- Установка этого параметра выведет на экран номер версии.

-d -- Установка этого параметра направляет все ошибки в стандартный поток ошибок (обычно терминал, в котором вы запустили squidGuard). Это чрезвычайно полезно, либокогда идет тестируется новая установка либо для целей диагностики проблем.

-с файл -- Этот параметр разрешает вам определить другой конфигурационный файл. Используйте его, когда тестируете новые конфигурации до установки их в качестве основных.

-t время -- Этот параметр разрешает вам установить формат времени запуска в виде yyyy-mm-ddTHH:MM:SS. Это особенно интересно, если вы тестируете acl, основанные на времени.

-u файл -- Обновление файлов всех доменов и url может потребовать значительного времени. Намного быстрее работать с .diff-файлами и просто включить изменения в db-файлы. Используя этот параметр, squidGuard посмотрит в каталогах категорий для .diff-файлов и, таким образом, подготовит изменения. Изменения вступят в силу в случае, когда squid перечитает свой конфигурационный файл (squid -k reconfigure).

-С файл|all -- Используя -C all, будет созданы db-файлы для всех сконфигурированных категорий заново. Если вы хотите обновить только определенный файл, вы можете ввести прямо его имя, например -C porn/domains.

Базовая конфигурация SquidGuard

( оригинал - http://www.squidguard.org/Doc/configure.html )


Когда SquidGuard успешно установлен, вы захотите настроить его в соответствии с вашими нуждами. Простая конфигурация устанавливается в каталог /usr/local/squidGuard (или в любой другой каталог, который вы укажете при инсталляции).
Ниже вы найдете три примера для базовой конфигурации SquidGuard.

1.Самая простая конфигурация:

#
# CONFIG FILE FOR SQUIDGUARD
#

dbhome /usr/local/squidGuard/db
logdir /usr/local/squidGuard/logs

dest porn {
domainlist porn/domains
urllist porn/urls
}

acl {
default {
pass !porn all
redirect http://localhost/block.html
}
}

Всегда проверяйте, что самая первая строка в вашем файле squidGuard.conf не пуста!
Параметры имеют следующее значение:

dbhome

• Местоположение «черных» списков
  

logdir

• Местоположение журнальных файлов
  

dest

• Определение категории блокирования
  

acl

• Действующее определение блокирования. В нашем примере отображено только правило по умолчанию. У вас может быть более чем одно определение acl. Категория porn, определенная вами в параметре dest, блокируется выражением !porn. Вам следует добавить идентификатор all после списка блокирования или ваших пользователей, которые не будут иметь возможность веб-серфинга вообще.
  

Изменение более чем одной категории для блокирования

Во-первых, определите ваши категории. Определите их подобно категории porn в примере выше. Например:

dest adv {
domainlist adv/domains
urllist adv/urls
}
dest porn {
domainlist porn/domains
urllist porn/urls
}
dest warez {
domainlist warez/domains
urllist warez/urls
}
Теперь ваш acl должен выглядеть так:

acl {
default {
pass !adv !porn !warez all
redirect http://localhost/block.html
}
}

2.«Белый» список

Иногда требуется разрешить определенным URL и доменам, даже если они являются частью списка блокирования по некоторым причинам. В этом случае вам нужно создать белый список с этиси доменами и URL.

dest white {
domainlist white/domains
urllist white/urls
}

acl {
default {
pass white !adv !porn !warez all
redirect http://localhost/block.html
}
}

В этом примере мы предполагаем, что ваш белый список располагается в каталоге, называемом white, внутри каталога черных списков, который вы определили параметром dbhome. Убедитесь, что ваш идентификатор white — первый в строке директивы pass. Он не должен иметь восклицательного знака вначале (иначе все данные, располагающиеся в white, будут также блокироваться).

3. Инициализация черных списков.

До того, как вы запустите свой SquidGuard, вы должны инициализировать черные списки, т.е. конвертировать их из текстовых файлов в db-файлы. При использовании db-формата будет ускорен процесс проверки и блокировки.
Инициализация выполняется следующей командой:

squidGuard -C all
chown -R squiduser /usr/local/squidGuard/db/*

Вторая команда гарантирует, что ваш squid будет иметь доступ к черным спискам. Вместо squiduser используйте uid вашего squid.
В зависимости от размера ваших черных списков и мощности вашего компьютера это может занять некоторое время. Если что-то выполняется успешно, вы должны увидеть в ваших журнальных файлах нечто подобное следующим строкам:

2006-01-29 12:16:14 [31977] squidGuard 1.2.0p2 started (1138533256.959)
2006-01-29 12:16:14 [31977] db update done
2006-01-29 12:16:14 [31977] squidGuard stopped (1138533374.571)

Если вы посмотрите в каталог, содержащий файлы domains и urls, вы увидите, что дополнительные файлы уже созданы: domains.db и urls.db. Эти новые файлы должны быть не пусты!
Конвертируются только те файлы, которые вы определили, чтобы блокировать или определить белые списки в вашем файле squidGuard.conf.

SquidGuard — правила перенаправления

(оригинал - http://www.squidguard.org/Doc/redirect.html)

1. Основы

Чтобы все работало корректно, вы должны указать SquidGuard, какие URL будут возвращены squid в случае, если запрашиваемый сайт должен блокироваться. Правило redirect должно быть размещено в директивах acl. Возможны несколько правил перенаправлений внутри одной и той же политики (т.е. определения исходных правил). Пример правила перенаправления в конфигурации:

acl {
default {
pass !porn all
redirect http://www.foo.bar/blocked.html
}
}

Этот пример предполагает, что одна и та же самая политика применяется для всех пользователей прокси. Пример для множественных правил перенаправления в конфигурации:

acl {
group1 within workhours {
pass !tracker !adv !spyware !hacking !porn all
redirect http://www.foo.bar/allblocked.html
}

default {
pass !porn all
redirect http://www.foo.bar/defaultblocked.html
}
}

В этом примере определяются 2 политики: последнее — это то же самое, что и пример выше, он действует на всех пользователей прокси, которые не попадают под действие политики, определенной как «group1». Если вы как пользователь распознаны как часть «group1» (по аутентификации, IP-адресу или временному определению), будет показана страница http://www.foo.bar/allblocked.html , если запрашиваемая страница является часть политики блокирования (в нашем примере — tracker, adv, spyware, hacking и porn).

Пожалуйста, помните:

• Политика, называемая «default», необходима!
  
• Если вы не определите конкретное правило перенаправления, блокирование или журналирование откликов не будет работать.
  
• Внутри описания политики должно быть только одно правило перенаправления .
  
• 
  

2. Дополнительно

Вместо отображения статичного сообщения «You have been blocked», вы можете запрограммировать скрипт, который делает то же, а также показывает пользователю некоторую дополнительную информацию о блокировании. SquidGuard допускает следующие переменные, интерпретируемые скриптом:

%а — переменная, которая содержит IP-адрес клиента
%i - переменная, которая содержит идентификатор пользователя (UID) (см. RFC 931 или LDAP) или «unknown», если UID не доступен.
%n - переменная, которая содержит доменное имя клиента или «unknown», если оно не доступно
%p - переменная, которая содержит REQUEST_URI, т.е. путь и, опционально, запрос переменной %u, но помните, что для удобства без промежуточных «/»
%s - переменная, которая содержит соответствующую исходную группу (source group) или «unknown», если нет соответствующих групп.
%t - переменная, которая содержит соответствующую группу назначения(target group) или «unknown», если нет соответствующих групп.
%u - переменная, которая содержит запрошенный URL.

Эта дополнительная информация в вашем перенаправляющем правиле вашего скрипта должна выглядеть примерно следующим образом:

redirect
http://www.foo.bar/blocked.cgi?caddr=%a&cname=%n&user=
%i&group=%s&url=%u&target=%t

В вашем скрипте вы должны установить значение передаваемой переменной $QUERY_STRING. Эта переменная содержит все данные параметры. SquidGuard заменяет переменную (с «%») с ее соответствующими значениями до отправки URL скрипту, таким образом, переменная $QUERY_STRING содержит всю информацию о пользователе, IP-адресе, группе и запрашиваемом URL.

1.