Instalando o Squid

Instalando o Squid
O Squid composto de um nico pacote, por isso a instalao simples. Instale o

pacote "squid" usando o apt-get, yum ou urpmi, como em:
# apt-get install squid
Toda a configurao do Squid feita em um nico arquivo, o "/etc/squid/squid.conf".
Caso voc esteja usando uma verso antiga do Squid, como a includa no Debian
Woody, por exemplo, o arquivo pode ser o "/etc/squid.conf". Apesar da mudana na
localizao do arquivo de configurao, as opes descritas aqui vo funcionar sem
maiores problemas.
O arquivo original, instalado junto com o pacote, realmente enorme, contm
comentrios e exemplos para quase todas as opes disponveis. Ele pode ser uma
leitura interessante se voc j tem uma boa familiaridade com o Squid e quer aprender
mais sobre cada opo. Mas, de incio, melhor comear com um arquivo de
configurao mais simples, apenas com as opes mais usadas.
Em geral, cada distribuio inclui uma ferramenta diferente para a configurao do
proxy, como o cone mgico que inclu no Kurumin. Uma das mais usadas o Webmin,
disponvel em vrias distribuies. A funo destas ferramentas disponibilizar as
opes atravs de uma interface grfica e gerar o arquivo de configurao com base nas
opes escolhidas.
Em alguns casos estas ferramentas ajudam bastante. Mas como elas mudam de
distribuio para distribuio, acaba sendo mais produtivo aprender a trabalhar direto no
arquivo de configurao, que, afinal, no to complicado assim. Comece renomeando
o arquivo padro:
# mv /etc/squid/squid.conf /etc/squid/squid.conf.velho
... e crie um novo arquivo "/etc/squid/squid.conf", com apenas as quatro linhas abaixo:
http_port 3128
visible_hostname kurumin
acl all src 0.0.0.0/0.0.0.0
http_access allow all
Estas linhas so o suficiente para que o Squid "funcione". Como voc percebeu, aquele
arquivo de configurao gigante tem mais uma funo informativa, citando e explicando
as centenas de opes disponveis. No se esquea de substituir o "kurumin" na opo
"visible_hostname" pelo nome correto do seu servidor, como informado pelo comando
"hostname".
As quatro linhas dizem o seguinte:
http_port 3128: A porta onde o servidor Squid vai ficar disponvel. A porta 3128 o
default.
visible_hostname kurumin: O nome do servidor, o mesmo que foi definido na

configurao da rede.
acl all src 0.0.0.0/0.0.0.0 e http_access allow all: Estas duas linhas criam uma acl (uma
poltica de acesso) chamada "all" (todos), incluindo todos os endereos IP possveis. Ela
permite que qualquer um dentro desta lista use o proxy, ou seja, permite que qualquer
um use o proxy, sem limitaes.
Para testar a configurao, reinicie o servidor Squid com o comando:
# /etc/init.d/squid restart
Se estiver no Slackware, o comando ser:
# /etc/rc.d/rc.squid restart
Configure um navegador (no prprio servidor) para usar o proxy, atravs do endereo
127.0.0.1 (o localhost), porta 3128, e teste a conexo. Se tudo estiver ok, voc
conseguir acessar o proxy tambm atravs dos outros micros da rede local, basta
configurar os navegadores para usarem o proxy, fornecendo o endereo do servidor na
rede local.
Criando uma configurao bsica
O problema que com apenas estas quatro linhas o proxy est muito aberto. Se voc
deixar o servidor proxy ativo no prprio servidor que compartilha a conexo e no
houver nenhum firewall ativo, qualquer um na internet poderia usar o seu proxy, o que
naturalmente no desejado. O proxy deve ficar ativo apenas para a rede local.
Vamos gerar, ento, um arquivo mais completo, permitindo que apenas os micros da
rede local possam usar o proxy e definindo mais algumas polticas de segurana. Neste
segundo exemplo j aproveitei algumas linhas do arquivo original, criando regras que
permitem o acesso a apenas algumas portas e no a qualquer coisa, como na
configurao anterior:
http_port 3128
acl all src 0.0.0.0/0.0.0.0
acl manager proto cache_object
acl localhost src 127.0.0.1/255.255.255.255
acl SSL_ports port 443 563
acl Safe_ports port 80 # http
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 563 # https, snews
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 901 # swat

acl Safe_ports port 1025-65535 # portas altas
acl purge method PURGE
acl CONNECT method CONNECT
http_access allow manager localhost
http_access deny manager
http_access allow purge localhost
http_access deny purge
http_access deny !Safe_ports
http_access deny CONNECT !SSL_ports
acl redelocal src 192.168.1.0/24
http_access allow localhost
http_access allow redelocal
http_access deny all
Veja que agora criei duas novas acl's. A acl "localhost" contm o endereo 127.0.0.1,
que voc utiliza ao usar o proxy localmente (ao navegar usando o prprio servidor), e a
acl "rede local", que inclui os demais micros da rede local. Substitua o "192.168.1.0/24"
pela a faixa de endereos IP e a mscara de sub-rede usada na sua rede local (o 24
equivale mascara 255.255.255.0).
Depois de criadas as duas polticas de acesso, vo duas linhas no final do arquivo que
especificam que os micros que se enquadrarem nelas podero usar o proxy:
Lembra-se da acl "all", que contm todo mundo? Vamos us-la para especificar que
quem no se enquadrar nas duas regras acima (ou seja, micros no-autorizados, da
internet) no poder usar o proxy:
Esta linha deve ir no final do arquivo, depois das outras duas. A ordem importante,
pois o Squid interpreta as regras na ordem em que so colocadas no arquivo. Se voc
permite que o micro X acesse o proxy, ele acessa, mesmo que uma regra mais abaixo
diga que no.
Se voc adicionasse algo como:
http_access deny redelocal
... os micros da rede local continuariam acessando, pois a regra que permite vem antes
da que probe.
Configurando o cache de pginas e arquivos
Outra coisa importante configurar o cache do proxy. O Squid trabalha com dois tipos
de cache:
1- Cache rpido, feito usando parte da memria RAM do servidor.
2- Cache um pouco mais lento porm maior, feito no HD.
O cache na memria RAM ideal para armazenar arquivos pequenos, como pginas
.html e imagens, que sero entregues instantaneamente para os clientes. O cache no HD
usado para armazenar arquivos maiores, como downloads, arquivos do Windows
update e pacotes baixados pelo apt-get.
O cache na memria RAM sempre relativamente pequeno. Em um servidor nodedicado (ou seja, uma mquina que usada para fazer outras coisas, mas roda tambm
o proxy), voc vai reservar algo como 32 ou 64 MB de RAM para o cache, a fim de
evitar que o cache do Squid ocupe toda a memria RAM, deixando o micro lento. Se
voc tiver uma rede maior e preferir deixar um micro dedicado apenas para o Squid,
ento o cache pode ter at 1/3 da memria RAM do servidor. No caia no erro de
reservar quase toda a RAM para o cache, pois alm do cache o sistema vai precisar de
memria para fazer outras coisas. Em um servidor com 1 GB de RAM voc pode
reservar uma percentagem um pouco maior, como 1/2 da memria total.
O cache no HD pode ser mais generoso, afinal a idia que ele guarde todo tipo de
arquivos, principalmente os downloads grandes, que demoram para ser baixados. A
nica limitao neste caso o espao livre no HD. A configurao do cache feita
adicionando mais algumas linhas no arquivo de configurao:
1- A configurao da quantidade de memria RAM dedicada ao cache feita
adicionando a opo "cache_mem", que contm a quantidade de memria que ser
dedicada ao cache. Para reservar 64 MB, por exemplo, a linha ficaria:
cache_mem 64 MB
2- Abaixo vai mais uma linha, que determina o tamanho mximo dos arquivos que sero
guardados no cache feito na memria RAM (o resto vai para o cache feito no HD). O
cache na memria muito mais rpido, mas como a quantidade de RAM muito
limitada, melhor deix-la disponvel para pginas web, figuras e arquivos pequenos
em geral. Para que o cache na memria armazene arquivos de at 64 KB, por exemplo,
adicione a linha:
maximum_object_size_in_memory 64 KB
3- Em seguida vem a configurao do cache em disco, que armazenar o grosso dos
arquivos. Por default, o mximo so downloads de 16 MB e o mnimo zero, o que faz
com que mesmo imagens e arquivos pequenos sejam armazenados no cache. Quase
sempre mais rpido ler a partir do cache do que baixar de novo da web, mesmo que o
arquivo seja pequeno.
Se voc faz download de arquivos grandes e deseja que eles fiquem armazenados no
cache, aumente o valor da opo "maximum_object_size". Isso especialmente til
para quem precisa baixar muitos arquivos atravs do apt-get ou Windows update em
muitos micros da rede. Se voc quiser que o cache armazene arquivos de at 512 MB,
por exemplo, as linhas ficariam:
maximum_object_size 512 MB
minimum_object_size 0 KB
Voc pode definir ainda a percentagem de uso do cache que far o Squid comear a
descartar os arquivos mais antigos. Por padro, sempre que o cache atingir 95% de uso,
sero descartados arquivos antigos at que a percentagem volte para um nmero abaixo
de 90%:
cache_swap_low 90
cache_swap_high 95
4- Depois vem a configurao do tamanho do cache em disco propriamente dita, que
composta por quatro valores. O primeiro, (/var/spool/squid) indica a pasta onde o
Squid armazena os arquivos do cache. Voc pode querer alterar para uma pasta em uma
partio separada, por exemplo. O "2048" indica a quantidade de espao no HD (em
MB) que ser usada para o cache. Aumente o valor se voc tem muito espao no HD do
servidor e quer que o Squid guarde os downloads por muito tempo.
Finalmente, os nmeros 16 256 indicam a quantidade de subpastas que sero criadas
dentro do diretrio. Por padro, temos 16 pastas com 256 subpastas cada uma. O
nmero "ideal" de pastas e subpastas para um melhor desempenho varia de acordo com
o sistema de arquivos usado, mas esta configurao padro adequada para a maioria
das situaes:
cache_dir ufs /var/spool/squid 2048 16 256
5- Voc pode definir ainda o arquivo onde so guardados os logs de acesso do Squid.
Por padro, o Squid guarda o log de acesso no arquivo "/var/log/squid/access.log". Este
arquivo usado pelo Sarg para gerar as pginas com as estatsticas de acesso.
cache_access_log /var/log/squid/access.log
6- Mais uma configurao que voc pode querer alterar o padro de atualizao do
cache. Estas trs linhas precisam sempre ser usadas em conjunto, ou seja, voc pode
alter-las, mas sempre as trs precisam estar presentes no arquivo. Eliminando um, o
Squid ignora as outras duas e usa o default.
Os nmeros indicam o intervalo (em minutos) que o Squid ir aguardar antes de
verificar se um item do cache (uma pgina, por exemplo) foi atualizado, para cada um
dos trs protocolos. O primeiro nmero (o 15) indica que o Squid verificar (a cada
acesso) se as pginas e arquivos com mais de 15 minutos foram atualizados. Ele faz
uma verificao rpida, checando o tamanho do arquivo, o que rpido. Se o arquivo
no mudou, ele continua fornecendo aos clientes o arquivo que est no cache,
economizando banda da conexo
O terceiro nmero (o 2280, equivalente a dois dias) indica o tempo mximo, depois do
qual o objeto sempre verificado. Alm do http e ftp, o Squid suporta o protocolo
gopher, que era muito usado nos primrdios da internet para localizar documentos de
texto, mas perdeu a relevncia hoje em dia:
refresh_pattern ^ftp: 15 20% 2280
refresh_pattern ^gopher: 15 0% 2280
refresh_pattern . 15 20% 2280
Depois de adicionar estas configuraes todas, o nosso arquivo de configurao j ficar
bem maior:
http_port 3128
cache_mem 32 MB
cache_swap_low 90
cache_swap_high 95
acl all src 0.0.0.0/0.0.0.0
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 901 # SWAT

Aqui j temos uma configurao mais completa, incluindo um conjunto de regras de
segurana (para que o proxy seja usado apenas a partir da rede local) e a configurao
do cache. Esta uma configurao adequada para uso em uma rede domstica ou
pequeno escritrio.
Em uma rede maior, voc provavelmente iria querer adicionar algumas limitaes de
acesso, limitando o acesso a algumas pginas, criando um sistema de autenticao ou
limitando o uso com base no horrio, entre outras possibilidades.
Adicionando restries de acesso
Em um ambiente de trabalho, a idia que os funcionrios usem a internet para

comunicao, pesquisa e outras funes relacionadas ao que esto fazendo. Muitas
empresas permitem que acessem os e-mails pessoais e coisas do gnero, mas sempre at
um certo limite. Seu chefe no vai gostar se comearem a passar a maior parte do tempo
no Orkut, por exemplo.
Bloqueando por domnio ou palavras
O Squid permite bloquear sites indesejados de forma relativamente simples, onde voc
inclui na configurao uma acl contendo os sites no permitidos e cria uma poltica de
acesso que bloqueia o acesso a eles.
Isso feito usando o parmetro "dstdomain" (destination domain). Veja um exemplo:
acl bloqueados dstdomain orkut.com playboy.abril.com.br
http_access deny bloqueados
Aqui eu criei uma acl chamada "bloqueados", que contm os endereos "orkut.com" e
"playboy.abril.com.br" e, em seguida, inclu a regra "http_access deny bloqueados", que
bloqueia o acesso a eles. Ao aplicar a regra, o Squid faz a resoluo do domnio e passa
a bloquear todas sub-pginas.
Existe uma ressalva: muitos sites podem ser acessados tanto com o "www" quanto sem.
Para o Squid, "www.orkut.com" e "orkut.com" so duas coisas diferentes. Bloqueando o
"orkut.com" os usurios ainda conseguiro acessar o site atravs do "www.orkut.com" e
vice-versa. Para bloquear ambos, preciso incluir as duas possibilidades dentro da
regra, como em:
acl bloqueados dstdomain orkut.com www.orkut.com playboy.abril.com.br
Voc pode incluir quantos domnios quiser dentro da regra, basta separ-los por espao
e deixar tudo na mesma linha. Se a regra comear a ficar muito grande, voc tem a
opo de transferir as entradas para um arquivo. Neste caso, crie um arquivo de texto
simples, com todos os domnios desejados (um por linha) e use a regra abaixo na
configurao do Squid. No exemplo, estou usando o arquivo "/etc/squid/bloqueados":
acl bloqueados url_regex -i "/etc/squid/bloqueados"
Naturalmente, no seria vivel tentar bloquear manualmente todos os sites
pornogrficos, chats, comunidades online, e todos os outros tipos de sites que no so
teis num ambiente de trabalho. A idia seria logar os acessos (com a ajuda do Sarg, que
veremos mais adiante) e bloquear os sites mais acessados, conforme tomar
conhecimento deles. sempre uma corrida de gato e rato, mas, em se tratando de
pessoas adultas, no h nada que uma boa conversa com o chefe no possa resolver ;).
De qualquer forma, em alguns ambientes, pode ser mais fcil bloquear inicialmente o
acesso a todos os sites e ir abrindo o acesso a apenas alguns sites especficos, conforme
a necessidade. Neste caso, invertemos a lgica da regra. Criamos um arquivo com sites
permitidos, adicionamos a regra que permite o acesso a eles e em seguida bloqueamos o
acesso a todos os demais, como neste exemplo:
acl permitidos url_regex -i "/etc/squid/permitidos"
http_access allow permitidos
Nas verses recentes do Squid, ao bloquear um domnio, automaticamente bloqueado
tambm o endereo IP do servidor correspondente. Isso evita que os usurios da rede
consigam burlar o proxy, acessando os sites diretamente pelo IP. De qualquer forma,
voc pode criar diretamente regras que bloqueiem determinados endereos IP, o que
til em casos de servidores sem domnio registrado, ou que respondam por vrios
domnios. Neste caso, a regra ficaria:
acl ips-bloqueados dst 200.234.21.23 200.212.15.45
http_access deny ips-bloqueados
Voc pode descobrir rapidamente o endereo IP de um determinado domnio usando o
comando "host", como em:
$ host google.com
google.com A 216.239.57.99
google.com A 216.239.37.99
Depois de adicionar as novas regras, nosso arquivo de configurao ficaria assim:
http_port 3128
cache_mem 32 MB
cache_swap_low 90
cache_swap_high 95
acl all src 0.0.0.0/0.0.0.0
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 901 # SWAT
Veja que coloquei as duas regras antes do "http_access allow redelocal", que abre tudo
para a rede local. Como o Squid processa as regras seqencialmente, as pginas que
forem bloqueadas pelas duas regras no chegaro a passar pela seguinte.
Uma segunda possibilidade usar o parmetro "dstdom_regex", que permite bloquear
sites de uma forma mais geral, com base em palavras includas na URL de acesso. Voc
pode bloquear todas as pginas cujo endereo inclua a palavra "sexo", por exemplo. Ao
usar esta regra, o Squid verifica a existncia das palavras na URL do site e no no
contedo da pgina.
Crie mais um arquivo de texto, contendo as palavras que devem ser bloqueadas (uma
por linha) e adicione a regra abaixo, contendo a localizao do arquivo:
acl nomesproibidos dstdom_regex "/etc/squid/nomesproibidos"
http_access deny nomesproibidos
O uso desta regra um pouco mais problemtica, pois bloquear todas pginas que
contenham alguma das palavras listadas na URL. Esta opo sempre levar a alguns
falsos positivos e por isso deve ser usada com mais cuidado.
No existe problema em combinar o bloqueio de domnios e de palavras dentro da URL,
voc pode lanar mo de uma combinao das duas coisas, de acordo com a situao.
Basta usar as duas regras simultaneamente, como em:
acl nomesproibidos dstdom_regex "/etc/squid/nomesproibidos"
http_access deny nomesproibidos
Includas as regras, os clientes passam a ver uma mensagem de erro ao tentar acessar
pginas que se enquadrem nos bloqueios:
Voc pode personalizar as pginas de erro editando os arquivos dentro da pasta

"/usr/share/squid/errors/English" ou "/usr/share/squid/errors/Portuguese" (de acordo
com a lngua definida na configurao). So vrias pginas html, uma para cada tipo de
erro indicado.
Gerenciando o uso da banda
O Squid oferece uma forma simples de limitar o uso da banda disponvel e definir o
quanto cada usurio pode usar (mantendo parte do link livre para os demais), utilizando
um recurso chamado "delay pools". Por exemplo, imagine que voc tem um link de 1
megabit para uma rede com 20 usurios. Se cada um puder ficar baixando o que quiser,
provvel que a rede fique saturada em determinados horrios, deixando a navegao
lenta para todo mundo.
Voc pode evitar isso limitando a banda que cada usurio pode usar e a banda total, que
todos os usurios somados podero usar simultaneamente. recomendvel, neste caso,
que o servidor proxy (que combina todos os acessos via http) consuma um pouco menos
que o total de banda disponvel, de forma a sempre deixar um pouco reservado para
outros protocolos.
Um link de 1 megabit (1024 kbits) corresponde a 131.072 bytes por segundo. Nas
regras do Squid, sempre usamos bytes, por isso lembre-se de fazer a converso,
dividindo tudo por 8 e multiplicando por 1024 para ter o nmero em bytes.
Podemos limitar a banda total usada pelo Squid a 114.688 bytes por segundo, deixando
128 kbits do link livres para outros protocolos e limitar cada usurio a no mximo
16.384 bytes por segundo, que correspondem a 128 kbits. Nem todos os usurios vo
ficar baixando arquivos a todo momento, por isso o valor ideal reservado a cada usurio
vai variar muito de acordo com a rede. Voc pode acompanhar o uso do link e ir
ajustando o valor conforme a utilizao.
Neste caso, a parte final do arquivo de configurao ficaria:
delay_pools 1
delay_class 1 2
delay_parameters 1 114688/114688 16384/16384
delay_access 1 allow redelocal
A acl "redelocal" agora est condicionada a trs novas regras, que aplicam o uso do
limite de banda. O acesso continua sendo permitido, mas agora dentro das condies
especificadas na linha "delay_parameters 1 114688/114688 16384/16384", onde vo
os valores com a banda total disponvel para o Squid e a banda disponvel para cada
usurio.
Veja que nesta regra limitamos a banda apenas para a acl "redelocal" e no para o
"localhost". Isso significa que voc continua conseguindo fazer downloads na
velocidade mxima permitida pelo link a partir do servidor; a regra se aplica apenas s
estaes. possvel tambm criar regras para endereos IP especficos, que podero
fazer downloads sem passar pelo filtro.
Concluindo, mais um tipo de bloqueio que til em muitas situaes com relao a
formatos de arquivos. Voc pode querer bloquear o download de arquivos .exe ou .sh
para dificultar a instalao de programas nas estaes, ou bloquear arquivo .avi ou .wmf
para economizar banda da rede, por exemplo. Neste caso, voc pode usar a regra a
seguir, especificando as extenses de arquivo desejadas:
acl video url_regex -i \.avi
http_access deny video
Bloqueando por horrio
As regras a seguir fazem com que o proxy recuse conexes feitas dentro de
determinados horrios. Voc pode definir regras para perodos especficos e combin-las
para bloquear todos os horrios em que voc no quer que o proxy seja usado. Para que
o proxy bloqueie acessos feitos entre meia-noite e 6:00 da manh e no horrio de
almoo, por exemplo, voc usaria as regras:
acl madrugada time 00:00-06:00
http_access deny madrugada
acl almoco time 12:00-14:00
http_access deny almoco
Estas regras iriam novamente antes da regra "http_access allow redelocal" no arquivo de
configurao.
Agora imagine que voc quer fazer diferente. Ao invs de bloquear o acesso na hora de
almoo, voc quer deixar o proxy aberto, para que aqueles que queiram acessar o Orkut
ou acessar os e-mails possam fazer isso fora do horrio de trabalho. Neste caso voc
usaria uma regra como:
http_access allow almoco
Esta regra entraria no arquivo de configurao antes das regras "http_access deny
bloqueados" e "http_access deny nomesproibidos". Assim, os acessos que forem aceitos
pela regra do almoo no passaro pelas regras que fazem o bloqueio.
Voc pode tambm combinar o bloqueio de palavras ou domnio com as regras de
bloqueio por horrio, permitindo que os usurios acessem um determinado site apenas
no horrio de almoo, por exemplo. A regra, neste caso, seria:
acl orkut dstdomain orkut.com www.orkut.com
http_access allow orkut almoco
Assim, o acesso ao site (que normalmente estaria bloqueado em uma acl mais adiante)
permitido dentro do horrio de almoo.
Proxy com autenticao
Voc pode adicionar uma camada extra de segurana exigindo autenticao no proxy.
Este recurso pode ser usado para controlar quem tem acesso internet e auditar os
acessos em caso de necessidade. Quase todos os navegadores oferecem a opo de
salvar a senha, de modo que o usurio precisa digit-la apenas uma vez a cada sesso:
Para ativar a autenticao, voc vai precisar de um programa chamado "htpasswd". Se

ele no estiver presente, instale o pacote apache-utils:
# apt-get install apache-utils
Em seguida crie o arquivo que ser usado para armazenar as senhas:
# touch /etc/squid/squid_passwd
Cadastre os logins usando o comando:
# htpasswd /etc/squid/squid_passwd kurumin
(onde o "kurumin" o usurio que est sendo adicionado)
Depois de terminar de cadastrar os usurios, adicione as linhas que ativam a
autenticao no "/etc/squid/squid.conf":
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/squid_passwd
acl autenticados proxy_auth REQUIRED
http_access allow autenticados
O "/usr/lib/squid/ncsa_auth" a localizao da biblioteca responsvel pela autenticao.
Eventualmente, ela pode estar em uma pasta diferente dentro da distribuio que estiver
usando. Neste caso, use o comando "locate" ou a busca do KDE para encontrar o
arquivo e altere a linha indicando a localizao correta.
Estas trs linhas criam uma acl chamada "autenticados" (poderia ser outro nome), que
contm os usurios que se autenticarem usando um login vlido. Ao implementar a
autenticao, voc pode criar regras de acesso com base nos logins dos usurios, no
apenas com base nos endereos IP.
Por exemplo, imagine que voc queria que apenas dois usurios da rede tenham acesso
irrestrito ao proxy. Os demais (mesmo se autenticando), podero acessar apenas no
horrio do almoo, e quem no tiver login e senha vlidos no acessa em horrio
nenhum. Neste caso voc poderia usar esta configurao:
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/squid_passwd
acl autenticados proxy_auth REQUIRED
acl permitidos proxy_auth kurumin tux
http_access allow permitidos
http_access allow autenticados almoco
Aqui temos os usurios que passaram pela autenticao divididos em duas regras. A acl
"autenticados" inclui todos os usurios, enquanto a acl "permitidos" contm apenas o
kurumin e o tux.
Graas regra "http_access allow permitidos", os dois podem acessar em qualquer
horrio, enquanto os demais caem na regra "http_access allow autenticados almoco",
que cruza o contedo das acls "autenticados" e "almoo", permitindo que eles acessem,
mas apenas das 12:00 s 13:00.
Configurando um proxy transparente
Uma garantia de que os usurios realmente vo usar o proxy e, ao mesmo tempo, uma
grande economia de trabalho e dor de cabea para voc o recurso de proxy
transparente. Ele permite configurar o Squid e o firewall de forma que o servidor proxy
fique escutando todas as conexes na porta 80. Mesmo que algum tente desabilitar o
proxy manualmente nas configuraes do navegador, ele continuar sendo usado.
Outra vantagem que este recurso permite usar o proxy sem precisar configurar
manualmente o endereo em cada estao. Basta usar o endereo IP do servidor rodando
o proxy como gateway da rede.
Lembre-se de que, para usar o proxy transparente, voc j deve estar compartilhando a
conexo no servidor via NAT, como vimos anteriormente. O proxy transparente apenas
far com que o proxy intercepte os acessos na porta 80, obrigando tudo a passar pelas
suas regras de controle de acesso, log, autenticao e cache.
Para ativar o proxy transparente, rode o comando abaixo. Ele direciona as requisies
recebidas na porta 80 para o Squid:
# iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j \
REDIRECT --to-port 3128
O "eth0" no comando indica a placa da rede local, onde o proxy recebe as requisies
dos outros micros da rede e o "3128" indica a porta usada pelo Squid. Adicione o
comando junto com os 4 comandos que compartilham a conexo no final do arquivo
"/etc/rc.local" ou ao seu script de firewall para que ele seja executado durante o boot.
Finalmente, voc precisa ativar o suporte ao modo transparente dentro do arquivo
"/etc/squid/squid.conf" e reiniciar o servio.
Se voc est usando uma verso recente, do Squid 2.6 em diante, a configurao mais
simples. Basta substituir a linha "http_port 3128" no incio do arquivo por:
http_port 3128 transparent
Ou seja, na verdade voc precisa apenas adicionar o "transparent", para que o Squid
passe a entender as requisies redirecionadas pela regra do firewall.
No caso das verses mais antigas, anteriores 2.6 (como a usada no Debian Sarge e no
Ubuntu 5.10), necessrio adicionar as quatro linhas abaixo, no final do arquivo
"/etc/squid/squid.conf" (neste caso, sem alterar a linha "http_port 3128"):
httpd_accel_host virtual
httpd_accel_port 80
httpd_accel_with_proxy on
httpd_accel_uses_host_header on
Em qualquer um dos dois casos, voc precisa reiniciar o servio para que a alterao
entre em vigor:
# /etc/init.d/squid restart
Em caso de dvida sobre qual verso do Squid est instalada, use o comando "squid -v",
que alm de reportar a verso, informa todas as opes que foram usadas durante a
compilao:
# squid -v
Squid Cache: Version 2.6.STABLE2
configure options: '--prefix=/usr' '--exec_prefix=/usr' '--bindir=/usr/sbin' '-sbindir=/usr/sbin' '--libexecdir=/usr/lib/squid' '--sysconfdir=/etc/squid' '-localstatedir=/var/spool/squid' '--datadir=/usr/share/squid' '--enable-async-io' '--withpthreads' '--enable-storeio=ufs,aufs,diskd,null' '--enable-linux-netfilter' '--enable-linuxproxy' '--enable-arp-acl' '--enable-epoll' '--enable-removal-policies=lru,heap' '--enablesnmp' '--enable-delay-pools' '--enable-htcp' '--enable-cache-digests' '--enableunderscores' '--enable-referer-log' '--enable-useragent-log' '--enableauth=basic,digest,ntlm' '--enable-carp' '--with-large-files' 'i386-debian-linux'
'build_alias=i386-debian-linux' 'host_alias=i386-debian-linux' 'target_alias=i386debian-linux'
Em resumo, voc vai ter a conexo compartilhada via NAT no servidor e configurar os
clientes para acessar atravs dela, colocando o servidor como gateway da rede. Ao
ativar o proxy transparente, a configurao dos clientes continua igual, a nica diferena
que agora (graas nova regra do Iptables) todo o trfego da porta 80 passar,
obrigatoriamente, pelo servidor Squid.
Isso permite que voc se beneficie do log dos acessos e do cache feito pelo proxy, sem
ter que se sujeitar s desvantagens de usar um proxy, como ter que configurar
manualmente cada estao.
Uma observao importante que esta configurao de proxy transparente no funciona
em conjunto com o sistema de autenticao incluso no Squid. Ao usar o proxy
transparente a autenticao deixa de funcionar, fazendo com que voc precise escolher
entre as duas coisas.
Outra limitao importante do uso do proxy transparente que ele atende apenas ao
trfego da porta 80. Como a conexo compartilhada via NAT, todo o trfego de outros
protocolos (incluindo pginas em HTTPS, que so acessadas atravs da porta 443)
encaminhado diretamente, sem passar pelo proxy. Ou seja, embora seja uma forma
simples de implementar um sistema de cache e algumas restries de acesso, o uso do
proxy transparente est longe de ser uma soluo ideal.
Em situaes onde voc realmente precisa ter controle sobre o trfego da rede, a nica
opo acaba sendo utilizar um proxy "normal", sem NAT. Uma soluo para reduzir seu
trabalho de administrao nesse caso implantar um sistema de configurao
automtica de proxy nos clientes.
Usando o Sarg para monitorar o acesso
O Sarg um interpretador de logs para o Squid, assim como o Webalizer para o

Apache. Sempre que executado, ele cria um conjunto de pginas, divididas por dia, com
uma lista de todas as pginas que foram acessadas e a partir de que mquina da rede
veio cada acesso. Caso voc tenha configurado o Squid para exigir autenticao, ele
organiza os acessos com base nos logins dos usurios. Caso contrrio, ele mostra os
endereos IP das mquinas.
A partir da voc pode acompanhar as pginas que esto sendo acessadas, mesmo que
no exista nenhum filtro de contedo, e tomar as medidas cabveis em casos de abuso.
Todos sabemos que os filtros de contedo nunca so completamente eficazes, eles
sempre bloqueiam algumas pginas teis e deixam passar muitas pginas imprprias. Se
voc tiver algum tempo para ir acompanhando os logs, a inspeo manual sempre o
mtodo mais eficiente. Voc pode ir fazendo um trabalho incremental, ir bloqueando
uma a uma as pginas onde os usurios perdem muito tempo, ou fazer algum trabalho
educativo, explicando que os acessos esto sendo monitorados e estabelecendo algum
tipo de punio para quem abusar.
Aqui est um exemplo do relatrio gerado pelo Sarg. Por padro, ele gera um conjunto
de pginas html dentro da pasta "/var/www/squid-reports/" (ou
"/var/www/html/squid/", em muitas distribuies), que voc pode visualizar atravs de
qualquer navegador. Os acessos so organizados por usurio (caso esteja sendo usada
autenticao) ou por IP, mostrando as pginas acessadas por cada um, quantidade de
dados transmitidos, tempo gasto em cada acesso, tentativas de acesso bloqueadas pelos
filtros de contedo e outras informaes.
O Sarg includo na maioria das distribuies atuais, em alguns casos instalado por
padro junto com o Squid. No Debian e derivados ele pode ser instalado com um:
# apt-get install sarg
No Mandriva, ele instalado atravs do "urpmi sarg".
Depois de instalado, chame o comando "sarg" (como root) para que os relatrios sejam
gerados automaticamente a partir do log do Squid.
O Sarg no um daemon que fica residente, voc precisa apenas cham-lo quando
quiser atualizar o relatrio. Se quiser automatizar esta tarefa, voc pode usar o cron para
que ele seja executado automaticamente todos os dias ou uma vez por hora, por
exemplo.
Voc pode alterar a pasta onde so salvos os relatrios, limitar o acesso s estatsticas e
alterar vrias opes cosmticas no arquivo de configurao do Sarg, que o
"/etc/sarg/sarg.conf" (no Mandriva) ou "/etc/squid/sarg.conf" (no Debian). O arquivo
auto-explicativo, nele voc pode alterar os diretrios-padro, alterar o layout da
pgina, cores e ttulos, etc. Outro recurso interessante o envio de uma cpia do
relatrio por e-mail sempre que o Sarg for executado.
Captulo 2: Configurando a rede
Endereos e compartilhamentos
Independentemente do sistema operacional usado, os parmetros necessrios para

configurar a rede e acessar a web atravs de uma conexo compartilhada so os
mesmos. Muda apenas a ferramenta de configurao usada.
- Endereo IP: Os endereos IP identificam cada micro na rede. A regra bsica que
cada micro deve ter um endereo IP diferente e devem ser utilizados endereos dentro
da mesma faixa.
Um endereo IP composto de uma seqncia de 32 bits, divididos em 4 grupos de 8
bits cada. Cada grupo de 8 bits recebe o nome de octeto. Veja que 8 bits permitem 256
combinaes diferentes (para comprovar, s calcular quanto dois elevado oitava
potncia). Para facilitar a configurao dos endereos, usamos nmeros de 0 a 255 para
representar cada octeto, formando endereos como 220.45.100.222, 131.175.34.7 etc.
Muito mais fcil do que ficar decorando seqncias de nmeros binrios.
O endereo IP dividido em duas partes. A primeira identifica a rede qual o
computador est conectado (necessrio, pois, em uma rede TCP/IP, podemos ter vrias
redes conectadas entre si, como no caso da internet) e a segunda identifica o
computador (chamado de host) dentro da rede.
Obrigatoriamente, os primeiros octetos serviro para identificar a rede e os ltimos
serviro para identificar o computador em si. Como temos apenas 4 octetos, esta diviso
limitaria bastante o nmero de endereos possveis, o que seria uma grande limitao no
caso da internet, onde existe um nmero muito grande de redes diferentes, muitas delas
com um nmero muito grande de micros conectados, como no caso dos grandes
provedores de acesso.
Se fosse reservado apenas o primeiro octeto do endereo, por exemplo, teramos um
grande nmero de hosts (micros conectados a cada rede), mas em compensao
poderamos ter apenas 256 redes diferentes, o que seria muito complicado, considerando
o tamanho do mundo ;).
Mesmo se reservssemos dois octetos para a identificao da rede e dois para a
identificao do host, os endereos possveis seriam insuficientes, pois existem muito
mais de 65 mil redes diferentes no mundo, conectadas entre si atravs da internet, e
existem algumas redes com mais de 65 mil micros.
Para permitir uma gama maior de endereos, os desenvolvedores do TPC/IP dividiram o
endereamento IP em cinco classes, denominadas A, B, C, D e E, sendo que as classes
D e E esto reservadas para expanses futuras. Cada classe reserva um nmero diferente
de octetos para o endereamento da rede.
Na classe A, apenas o primeiro octeto identifica a rede, na classe B so usados os dois
primeiros octetos e na classe C (a mais comum) temos os trs primeiros octetos
reservados para a rede e apenas o ltimo reservado para a identificao dos hosts.
O que diferencia uma classe de endereos da outra o valor do primeiro octeto. Se for
um nmero entre 1 e 126 (como em 113.221.34.57), temos um endereo de classe A. Se
o valor do primeiro octeto for um nmero entre 128 e 191, ento temos um endereo de
classe B (como em 167.27.135.203) e, finalmente, caso o primeiro octeto seja um

nmero entre 192 e 223, teremos um endereo de classe C, como em 212.23.187.98.
Isso permite que existam ao mesmo tempo redes pequenas, com at 254 micros, usadas,
por exemplo, por pequenas empresas e provedores de acesso, e redes muito grandes,
usadas por grandes empresas, datacenters ou grandes provedores de acesso.
Todos os endereos IP vlidos na internet possuem dono. Seja alguma empresa ou
alguma entidade certificadora que os fornece junto com novos links. Por isso, no
podemos utilizar nenhum deles a esmo. Quando voc se conecta na internet, voc
recebe um (e apenas um) endereo IP vlido, emprestado pelo provedor de acesso, algo
como, por exemplo, "200.220.231.34". atravs deste nmero que outros computadores
na internet podem enviar informaes e arquivos para o seu.
Quando quiser configurar uma rede local, voc deve usar um dos endereos
reservados, endereos que no existem na internet e que, por isso, podemos utilizar
vontade em nossas redes particulares. As faixas reservadas de endereos so:
10.x.x.x, com mscara de sub-rede 255.0.0.0
172.16.x.x at 172.31.x.x, com mscara de sub-rede 255.255.0.0
192.168.0.x at 192.168.255.x, com mscara de sub-rede 255.255.255.0
Voc pode usar qualquer uma dessas faixas de endereos na sua rede. Uma faixa de
endereos das mais usadas a 192.168.0.x, onde o "192.168.0." vai ser igual em todos
os micros da rede e muda apenas o ltimo nmero, que pode ser de 1 at 254 (o 0 e o
255 so reservados para o endereo da rede e o sinal de broadcast). Se voc tiver 4
micros na rede, os endereos deles podem ser, por exemplo, 192.168.0.1, 192.168.0.2,
192.168.0.3 e 192.168.0.4.
Micros configurados para usar faixas de endereos diferentes entendem que fazem parte
de redes diferentes e no conseguem se enxergar mutuamente. Uma configurao muito
comum em grandes redes dividir os micros em diversas faixas de IPs diferentes (como
192.168.0.x, 192.168.1.x, 192.168.2.x, etc.) e usar um roteador (que pode ser um
servidor com vrias placas de rede) para interlig-las.
- Mscara de sub-rede: Ao contrrio do endereo IP, que formado por valores entre 0
e 255, a mscara de sub-rede formada por apenas dois valores: 0 e 255, como em
255.255.0.0 ou 255.0.0.0, onde um valor 255 indica a parte do endereo IP referente
rede e um valor 0 indica a parte do endereo referente ao host, o endereo particular de
cada computador que faz parte dela.
A mscara de rede padro acompanha a classe do endereo IP: em um endereo de
classe A, a mscara ser 255.0.0.0, indicando que o primeiro octeto se refere rede e os
trs ltimos ao host; em um endereo classe B, a mscara padro ser 255.255.0.0, onde
os dois primeiros octetos referem-se rede e os dois ltimos ao host, enquanto em um
endereo classe C, a mscara padro ser 255.255.255.0, onde apenas o ltimo octeto
refere-se ao host.
Mas, afinal, para que servem as mscaras de sub-rede ento? Apesar das mscaras
padro acompanharem a classe do endereo IP, possvel "mascarar" um endereo IP,
mudando as faixas do endereo que sero usadas para enderear a rede e o host.
Veja, por exemplo, o endereo "192.168.0.1". Por ser um endereo de classe C, sua
mscara padro seria 255.255.255.0, indicando que o ltimo octeto se refere ao host, e
os demais rede. Porm, se mantivssemos o mesmo endereo, mas alterssemos a
mscara para 255.255.0.0, apenas os dois primeiros octetos (192.168) continuariam
representando a rede, enquanto o host passaria a ser representado pelos dois ltimos (e
no apenas pelo ltimo).
O endereo "192.168.0.1" com mscara 255.255.255.0 diferente de "192.168.0.1" com
mscara 255.255.0.0. Enquanto no primeiro caso temos o host "1" dentro da rede
"192.168.0", no segundo caso temos o host "0.1" dentro da rede "192.168".
A moral da histria que dentro da rede voc deve configurar sempre todos os micros
para usarem a mesma mscara de sub-rede, seguindo a faixa de endereos escolhida. Se
voc est usando a faixa 192.168.0.x, ento a mscara de sub-rede vai ser 255.255.255.0
para todos os micros.
- Default Gateway (gateway padro): Lembra que disse que quando voc se conecta
internet atravs de um provedor de acesso qualquer voc recebe apenas um endereo IP
vlido? Quando voc compartilha a conexo entre vrios micros, apenas o servidor que
est compartilhando a conexo possui um endereo IP vlido, s ele "existe" na internet.
Todos os demais acessam atravs dele.
O default gateway ou gateway padro justamente o micro da rede que tem a conexo,
que os outros consultaro quando precisarem acessar qualquer coisa fora da rede local.
Por exemplo, se voc montar uma rede domstica com 4 PCs, usando os endereos
192.168.0.1, 192.168.0.2, 192.168.0.3 e 192.168.0.4, e o PC 192.168.0.1 estiver
compartilhando o acesso internet, as outras trs estaes devero ser configuradas para
utilizar o endereo "192.168.0.1" como gateway padro.
Servidor DNS: O DNS (domain name system) permite usar nomes amigveis ao invs
de endereos IP para acessar servidores. Quando voc se conecta internet e acessa o
endereo http://www.hardware.com.br/, um servidor DNS que converte o "nome
fantasia" no endereo IP real do servidor, permitindo que seu micro possa acess-lo.
Para tanto, o servidor DNS mantm uma tabela com todos os nomes fantasia,
relacionados com os respectivos endereos IP. A maior dificuldade em manter um
servidor DNS justamente manter esta tabela atualizada, pois o servio tem que ser
feito manualmente.
Dentro da internet, temos vrias instituies que cuidam desta tarefa. No Brasil, por
exemplo, temos a FAPESP. Para registrar um domnio, preciso fornecer a eles o
endereo IP real do servidor onde a pgina ficar hospedada. A FAPESP cobra uma taxa
de manuteno anual de R$ 30 por este servio. Servidores DNS tambm so muito
usados em intranets, para tornar os endereos mais amigveis e fceis de guardar.
Faz parte da configurao da rede informar os endereos DNS do provedor (ou qualquer
outro servidor que voc tenha acesso), que para quem seu micro ir perguntar sempre
que voc tentar acessar qualquer coisa usando um nome de domnio e no um endereo
IP. O jeito mais fcil de conseguir os endereos do provedor simplesmente ligar para o
suporte e perguntar.
O ideal informar dois endereos. Assim, se o primeiro estiver fora do ar, voc continua
acessando atravs do segundo. Tambm funciona com um endereo s, mas voc perde
a redundncia. Exemplos de endereos de servidores DNS so 200.204.0.10 e
200.204.0.138.
DHCP: O DHCP ("Dynamic Host Configuration Protocol" ou "protocolo de
configurao dinmica de endereos de rede") permite que todos os micros da rede
recebam suas configuraes de rede automaticamente a partir de um servidor central,
sem que voc precise ficar configurando os endereos manualmente em cada um.
O protocolo DHCP trabalha de uma forma bastante interessante. Inicialmente, a estao
no sabe quem , no possui um endereo IP e no sabe sequer qual o endereo do
servidor DHCP da rede. Ela manda, ento, um pacote de broadcast endereado ao IP
"255.255.255.255", que transmitido pelo switch para todos os micros da rede. O
servidor DHCP recebe este pacote e responde com um pacote endereado ao endereo
IP "0.0.0.0", que tambm transmitido para todas as estaes.
Apesar disso, apenas a estao que enviou a solicitao ler o pacote, pois ele
endereado ao endereo MAC da placa de rede. Como vimos na introduo, quando
uma estao recebe um pacote destinado a um endereo MAC diferente do seu, ela
ignora a transmisso.
Dentro do pacote enviado pelo servidor DHCP esto especificados o endereo IP,
mscara, gateway e servidores DNS que sero usados pela estao. Veremos como
configurar um servidor DHCP em detalhes no captulo 5 do livro, com mais algumas
dicas no captulo 9, onde falo sobre a configurao de servidores de boot remoto.
Este endereo temporrio, no da estao, mas simplesmente "emprestado" pelo
servidor DHCP para que seja usado durante um certo tempo (lease time), definido na
configurao do servidor. Depois de decorrido metade do tempo de emprstimo, a
estao tentar contatar o servidor DHCP para renovar o emprstimo. Se o servidor
DHCP estiver fora do ar, ou no puder ser contatado por qualquer outro motivo, a
estao esperar at que tenha se passado 87.5% do tempo total, tentando vrias vezes
em seguida. Se, terminado o tempo do emprstimo, o servidor DHCP ainda no estiver
disponvel, a estao abandonar o endereo e ficar tentando contatar qualquer servidor
DHCP disponvel, repetindo a tentativa a cada 5 minutos. Porm, por no ter mais um
endereo IP, a estao ficar fora da rede at que o servidor DHPC volte a responder.
Veja que uma vez instalado, o servidor DHCP passa a ser essencial para o
funcionamento da rede. Se ele estiver travado ou desligado, as estaes no tero como
obter seus endereos IP e no conseguiro entrar na rede. Todos os provedores de acesso
discado usam servidores DHCP para fornecer dinamicamente endereos IP aos usurios.
No caso deles, esta uma necessidade, pois o provedor possui uma quantidade de
endereos IP vlidos, assim como um nmero de linhas bem menor do que a quantidade
total de assinantes, pois trabalham sobre a perspectiva de que nem todos acessaro ao
mesmo tempo.
No necessrio ter um servidor DHCP dedicado. Muito pelo contrrio, o DHCP um
servio que consome poucos recursos do sistema, por isso o mais comum deix-lo
ativo no prprio servidor que compartilha a conexo. Freqentemente, o mesmo
servidor incorpora tambm o firewall e um proxy transparente. Embora no ofeream os
mesmos recursos que um servidor Linux, os modems ADSL que podem ser
configurados como roteadores quase sempre incluem a opo de ativar o servidor
DHCP.
No Windows, a configurao de rede vai dentro do Painel de Controle > Conexes de
rede, onde so listadas todas as placas instaladas. O objetivo do livro falar sobre a
configurao de servidores Linux, mas no faz mal fazer uma reviso rpida da
configurao de mquinas Windows, usadas como clientes.
Dentro das propriedades de cada interface, vai uma lista dos protocolos disponveis. As
opes "Cliente para redes Microsoft" e "Compartilhamento de arquivos e impressoras
para redes Microsoft" ativam o compartilhamento e acesso a compartilhamentos de
redes em outros micros Windows, usando o protocolo SMB. As mquinas Linux
tambm podem participar, usando o Samba, que aprenderemos a configurar no captulo
6. Alm de compartilhar arquivos e acessar compartilhamentos em outros micros, o
servidor Samba pode servir como servidor de autenticao para as mquinas Windows,
facilitando o gerenciamento dos logins de acesso nas mquinas Windows.
Mantendo o "Compartilhamento de arquivos e impressoras para redes Microsoft" ativo,

voc pode compartilhar pastas clicando com o boto direito sobre elas e acessando a
opo "Compartilhamento e segurana". Marque a opo "Compartilhar esta pasta na
rede" e, opcionalmente, a opo "Permitir que usurios da rede alterem meus arquivos"
para tornar o compartilhamento leitura e escrita. Por padro, o Windows XP utiliza uma
pasta chamada "Arquivos compartilhados", que a nica compartilhada por padro.
Para compartilhar outras pastas, voc precisa primeiro clicar sobre o link "Se voc
entende os riscos de segurana, mas deseja compartilhar arquivos sem executar o
assistente, clique aqui", dentro da aba de compartilhamento.
O mesmo vale para as impressoras instaladas, que voc pode compartilhar atravs do
"Painel de Controle > Impressoras". Clique com o boto direito sobre ela e acesse a
opo "Compartilhamento":
Voc pode visualizar e acessar os compartilhamentos disponveis nas outras mquinas

da rede atravs do menu "Meus locais de rede", dentro do prprio Windows Explorer, o
famoso "Ambiente de rede":
A navegao em redes Windows um recurso que depende fortemente do envio de

pacotes de broadcast e da figura do "Master Browser", uma das mquinas da rede, eleita
com a funo de colocar "ordem na casa", localizando os compartilhamentos e
entregando a lista para as demais. Em resumo, existem muitas coisas que podem dar
errado, fazendo com que novos compartilhamentos demorem para aparecer, ou que
micros configurados para usar diferentes grupos de trabalho (porm na mesma rede) no
se enxerguem.
Nesses casos, voc pode mapear o compartilhamento manualmente. Ainda dentro do
Windows Explorer, clique com o boto direito sobre o "Meu Computador" e acesse a
opo "Mapear unidade de rede". Na tela seguinte, escolha uma letra para a unidade e
indique o endereo IP, ou nome do servidor, seguido pelo nome do compartilhamento,
como em "\\192.168.1.233\ut". Note que voc usa duas barras invertidas antes do nome
do servidor e mais uma barra antes do nome do compartilhamento. Ao acessar um
servidor que fica ligado continuamente, voc pode marcar a opo "Reconectar-se
durante o logon", o que torna o mapeamento permanente:
Voltando s propriedades da conexo, a configurao da rede vai dentro das

propriedades do protocolo TCP/IP, onde voc pode escolher entre ativar o cliente DHCP
ou configurar manualmente os endereos. O segundo servidor DNS desejvel pela
questo da redundncia, mas no obrigatrio dentro da configurao:
Ao configurar a rede via DHCP, voc pode checar rapidamente qual endereo IP est
sendo usado por cada micro usando o comando "ipconfig" dentro do prompt do MSDOS:
Uma curiosidade que, no Windows XP, voc pode tambm configurar a rede via linha
de comando usando o comando "netsh". Na prtica, no existe nenhuma grande
vantagem sobre configurar pelo Painel de controle, mas no deixa de ser um truque
interessante.
Para configurar a rede, especificando manualmente os endereos, voc usaria:
C:\> netsh int ip set address name="Conexo Local" source=static 192.168.0.22
255.255.255.0 192.168.0.1 1
... onde o "Conexo Local" o nome da conexo de rede (da forma como aparece no
painel de Conexes de rede do Painel de controle), seguido pelo endereo IP, mscara e
gateway da rede. No se esquea do nmero "1" no final, que um parmetro para a
configurao do gateway.
Para configurar o DNS, voc usaria:

C:\> netsh int ip set dns "Conexo Local" static 200.204.0.10
Para configurar os endereos e DNS via DHCP, voc pode usar os comandos:
C:\> netsh int ip set address name="Conexo Local" source=dhcp
C:\> netsh int ip set dns "Conexo Local" dhcp
Como vimos, o endereo obtido via DHCP precisa ser renovado periodicamente, o que
feito de forma automtica. Mas, em algumas situaes, o sistema pode falhar em
renovar o endereo (o que relativamente comum ao acessar via cabo, por exemplo)
fazendo com que seu micro seja desconectado da rede. Nestes casos, voc pode forar a
renovao do endereo IP clicando com o boto direito sobre o cone da conexo, dentro
do painel de controle e acessando a opo "Reparar", ou usando os dois comandos
abaixo no prompt do MS-DOS:
C:\> ipconfig /release
C:\> ipconfig /renew
Um exemplo de configurao de rede completa para um dos micros da rede, que vai
acessar a internet atravs do micro que est compartilhando a conexo, seria:
IP: 192.168.0.2
Mscara: 255.255.255.0
Gateway: 192.168.0.1 (o endereo do micro compartilhando a conexo)
DNS: 200.204.0.10, 200.204.0.138
O micro que est compartilhando a conexo, por sua vez, vai ter duas placas de rede,
uma para a internet e outra para a rede local, por isso vai ter uma configurao separada
para cada uma. A configurao da internet feita da forma normal, de acordo com o tipo
de conexo que voc usa, enquanto a configurao da rede interna segue o padro que
vimos at aqui.
Neste exemplo, estou usando dois endereos de servidores DNS externos na
configurao do cliente, mas possvel instalar um servidor DNS na mquina que est
compartilhando a conexo, incluindo inclusive nomes para as mquinas da rede local
(como veremos no captulo 7). Neste caso, voc pode usar o endereo do gateway
tambm como DNS.
Note que, neste caso, os micros da rede local utilizam uma faixa de endereos privada
(192.168.0.x no exemplo), uma faixa de endereos que no existe na internet. O nico
que possui um endereo IP vlido na internet o roteador, que por isso o nico que
pode ser acessado diretamente de fora. Ele fica responsvel por interligar as duas redes,
permitindo que os micros da rede interna acessem a internet.
Este mtodo de compartilhamento de conexo chamado de "NAT" (Network Address
Translation). Ao receber um pacote de um dos micros da rede local endereado
internet, o servidor substitui o endereo da estao (192.168.0.2, por exemplo) pelo seu
endereo de internet (200.220.134.54, por exemplo) e o envia ao destinatrio. Ao
receber resposta, o servidor novamente troca o endereo de internet do destinatrio pelo
seu (do servidor) IP de rede local. A estao acha que est conversando diretamente com
o servidor e no enxerga os demais hosts da internet, enquanto eles (os demais hosts)
enxergam apenas seu servidor e no os demais micros da rede local, que permanecem
invisveis.
Ao usar uma mquina XP com duas ou mais conexes de rede, possvel ainda criar
uma ponte (bridge connection) dentre elas, permitindo que os micros conectados a cada
uma das duas interfaces se enxerguem mutuamente.
Imagine uma situao onde voc tenha trs micros e precisa configurar rapidamente
uma rede entre eles para jogar uma rodada de Doom 3, sem usar um switch. Se um dois
micros tiver duas placas de rede (mesmo que seja uma placa cabeada e uma placa
wireless), voc pode usar cabos cross-over ou conexes wireless add-hoc para ligar os
outros dois micros a ele. Inicialmente, o micro com as duas placas enxergaria os outros
dois, mas os dois no se enxergariam mutuamente. A ponte resolve este problema,
permitindo que os trs se enxerguem e faam parte da mesma rede.
Para ativ-la, selecione as duas placas com o mouse, clique com o boto direito e acesse
a opo "Conexes em ponte".
No caso das mquinas Linux, o utilitrio de configurao de rede muda de acordo com
a distribuio usada:
Um dos mais populares o "network-config", que usado por padro no Ubuntu e
diversas outras distribuies que utilizam o Gnome como interface padro, onde ele fica
disponvel no menu "Sistema > Administrao > Rede". Ele est disponvel tambm no
Kurumin (Iniciar > Sistema > Gnome System Tools > Configurao da rede) e pode ser
usado em outras distribuies derivadas do Debian, que no o incluem por padro,
atravs da instalao do pacote "gnome-system-tools".
Ao ser aberto, ele mostra as interfaces disponveis na sua mquina. Na aba "geral" voc
configura o nome da mquina e na aba "DNS" voc define os endereos dos servidores
DNS, que so "de uso comum", usados por qual seja a interface onde est a conexo
com a web.
Em caso de um micro com duas ou mais placas, como no caso de um notebook com
uma placa cabeada e uma placa wireless, ou no caso de um servidor compartilhando a
conexo, voc precisa definir qual delas a interface com a conexo com a internet,
atravs da opo "Dispositivo padro de gateway":
Na aba "Mquinas" voc pode definir "apelidos" para as outras mquinas da rede,
relacionando seus nomes a endereos IP. Isso permite que voc digite algo como "ssh
server" ao invs de "ssh 192.168.0.1" para acessar a mquina via SSH, por exemplo.
Esta opo equivale edio do arquivo "/etc/hosts", que voc encontra em qualquer
distribuio.
Clicando nas propriedades de cada interface, voc cai no menu de configurao, onde
pode definir os endereos ou ativar a configurao via DHCP:
O Fedora inclui o "system-config-network", que pode ser chamado atravs do menu,

ou diretamente via linha de comando. Ele um "primo" do network-admin, que utiliza
uma interface um pouco diferente, mas oferece as mesmas opes:
No Mandriva use os utilitrios disponveis na seo "Rede e internet" do Painel de

Controle. Clique no "Gerenciar conexes" para definir os endereos da rede ou
configurar o sistema para usar DHCP (na opo "protocolo"). Na opo "Acesso
internet" vo os endereos dos servidores DNS do provedor, caso esteja configurando a
rede manualmente.
No caso do Kurumin, alm do "network-config", voc pode contar com um conjunto de

scripts adicionais, disponveis na seo "Conectar na Internet ou configurar a rede",
dentro do painel de controle:
O script responsvel pela configurao da rede o "netcardconfig", um assistente que

rene as informaes necessrias e atualiza a configurao do sistema:
Esta configurao de IP, mscara, gateway e DNS vale tanto para redes cabeadas,
quanto para redes wireless. A diferena que as redes wireless possuem alguns
parmetros adicionais, que so necessrios para estabelecer a conexo com o ponto de
acesso. S depois que a conexo estabelecida, passamos para a configurao dos
endereos.
Temos ainda a questo do acesso a compartilhamentos da rede a partir das mquinas
Linux. Naturalmente, voc pode tambm acessar compartilhamentos de rede, tanto em
mquinas Windows, quanto em outras mquinas Linux com o servidor Samba ativo. Um
dos programas mais usados o "Smb4k", que vem instalado por padro em diversas
distribuies. Ao ser aberto, ele mostra os grupos de trabalho disponveis na rede e,
dentro de cada um, os servidores e compartilhamentos. Ao clicar sobre um
compartilhamento que exige autenticao, ele abre um prompt de login. Os
compartilhamentos acessados aparecem no menu da direita. Clicando sobre eles voc
abre uma tela do gerenciador de arquivos.
Os compartilhamentos acessados atravs do Smb4k so, na verdade, montados dentro

da pasta "smb4k", dentro do seu diretrio home. Ele so organizados em uma estrutura
de pastas, com uma pasta separada para os compartilhamentos de cada servidor. Note
que quando falo em "servidor" me refiro a qualquer mquina da rede que esteja
compartilhando arquivos.
Em casos onde o Smb4k no consiga mostrar corretamente os compartilhamentos, ou a

navegao fique instvel, voc pode indicar manualmente o endereo IP de uma
mquina Windows, ou servidor Samba de onde ele obter a lista dos compartilhamentos.
Acesse o "Configuraes > Configurar Smb4k > Rede" e indique o servidor na opo
"Query a master browser to retrieve the browse list". Na opo "Compartilhamentos",
voc pode marcar a opo "Remount recently used shares on program start", que faz
com que ele "lembre" dos compartilhamentos acessados e restaure o acesso a eles a cada
abertura do programa, mesmo depois de reiniciar a mquina.
Outra opo para acessar os compartilhamentos usar o mdulo "smb:/" do Konqueror.

Abra uma janela do gerenciador de arquivos e digite "smb://servidor" (onde o "servidor"
pode ser o endereo IP, ou o nome do servidor Windows ou Samba dentro da rede) para
ver os compartilhamentos disponveis. Voc pode digitar tambm "smb://grupo" (onde
"grupo" o nome do grupo de trabalho) ou mesmo apenas "smb:/" (neste caso com uma
nica barra) para que ele tente mostrar toda a rede:
No Ubuntu voc pode usar o mdulo de acesso a compartilhamentos do Nautilus,

disponvel no menu "Locais > Servidores de Rede" (no menu do topo da tela). Ao ser
aberto, ele mostra os servidores e compartilhamentos disponveis dentro do cone "Rede
Windows". Voc pode tambm especificar compartilhamentos manualmente usando a
opo "Locais > Conectar ao Servidor":
Configurando manualmente no Linux
Como vimos, existem diversas ferramentas grficas de configurao da rede, que voc
pode usar de acordo com a distribuio. Mesmo assim, nenhuma ferramenta
completamente prova de falhas. Quanto mais automtica a ferramenta de deteco,
maior a possibilidade de erros.
Outro dia, por exemplo, tive um problema com uma instalao do Slackware. Apesar da
placa de rede PCMCIA ter sido automaticamente detectada pelo hotplug, o netconfig (o
script de configurao de rede includo no Slackware) no estava conseguindo
configurar a rede corretamente. Em casos como este, voc pode apelar para a
configurao manual da rede, um mtodo que funciona em qualquer distribuio.
A configurao da rede envolve, basicamente, trs passos:
1- Carregar o mdulo correto para a placa de rede e certificar-se de que o sistema o
utilizou para habilitar a interface de rede.
2- Configurar o IP, mscara e as demais configuraes da rede, usando o ifconfig.
3- Configurar a rota padro e colocar o DNS do provedor no arquivo "/etc/resolv.conf".
Tudo isso pode ser feito diretamente atravs de comandos de terminal. Depois de testar
a configurao voc pode torn-la definitiva, adicionando os mesmos comandos a um
dos arquivos de inicializao do sistema. Esta dica pode ser usada em qualquer
distribuio, sempre que as ferramentas de configurao falharem ou voc estiver em
busca de aventura.
Em primeiro lugar, verifique se o mdulo que habilita o suporte placa de rede est
carregado. Use o comando lsmod:
Module Size Used by Tainted: PF
snd 27716 0 (unused)
i830 69248 1
agpgart 38296 11
i810_audio 25064 0
ac97_codec 11884 0 [i810_audio]

soundcore 3428 2 [snd i810_audio]
8139too 27500 1
serial 51972 0
mousedev 3832 1
ds 6536 1
yenta_socket 9408 1
pcmcia_core 39712 0 [ds yenta_socket]
rtc 6908 0
No meu caso a placa uma Encore, com o chipset Realtek 8139, o mdulo que habilita
suporte a ela (o 8139too) est carregado, mas ainda assim a rede no est funcionando.
Outros mdulos usados por placas comuns so o "via-rhine", "e100" e o "sis900".
O prximo passo configurar o arquivo "/etc/modules.conf", para ter certeza de que o
mdulo est sendo usado para habilitar a interface de rede. Se voc tem apenas uma
placa de rede (cabeada), ela ser sempre a "eth0". Placas wireless podem receber outros
nomes, de acordo com o driver usado.
Abra o arquivo "/etc/modules.conf" e adicione a linha:
alias eth0 8139too
... trocando o "8139too" pelo mdulo usado pela sua placa. Caso voc tenha duas placas
de rede que utilizem mdulos diferentes, voc pode usar o mesmo arquivo para indicar
manualmente como cada uma ser vista pelo sistema, como em:
alias eth0 8139too
alias eth1 sis900
Isso pode ser usado em casos em que o sistema troca a posio das placas de rede (a
eth0 passa a ser a eth1 e vice-versa) a cada boot. Caso o mdulo da placa no estivesse
carregado, voc poderia ativ-lo manualmente usando o comando "modprobe", como
em:
# modprobe 8139too
Em seguida, falta fazer a configurao da rede. A melhor opo para fazer a
configurao manualmente usar o ifconfig, como em:
# ifconfig eth0 192.168.0.10 netmask 255.255.255.0 up
Este comando configura o endereo IP e a mscara de sub-rede. O "up" serve para ativar
a interface de rede especificada, a "eth0", no exemplo. O passo seguinte definir a rota
padro, ou seja, o gateway da rede e a interface que ser usada para contat-lo. Por
segurana, rodamos primeiro o comando "route del default", que desativa qualquer
configurao anterior:
# route del default
# route add default gw 192.168.0.1 dev eth0
... onde o "192.168.0.1" o gateway da rede e a "eth0" a placa conectada a ele. Estes
mesmos dois comandos resolvem casos em que o micro tem duas placas de rede, ou
uma placa de rede e um modem e o sistema tenta acessar a internet usando a placa
errada.
Verifique tambm se o arquivo "/etc/resolv.conf" contm os endereos DNS do
provedor, como em:
nameserver 200.204.0.10
nameserver 200.219.150.5
A falta dos endereos no "/etc/resolv.conf" , provavelmente, a causa mais comum de
problemas com a navegao.
Para que estes comandos sejam executados durante o boot, restaurando a configurao
automaticamente, coloque-os no final do arquivo "/etc/init.d/bootmisc.sh", no caso do
Kurumin ou outros derivados do Debian; ou no arquivo "/etc/rc.d/rc.local", no caso das
distribuies derivadas do Red Hat, como em:
modprobe 8139too
ifconfig eth0 192.168.0.10 netmask 255.255.255.0 up
route del default
route add default gw 192.168.0.1 dev eth0
Caso voc esteja configurando um servidor com vrias placas de rede (cada uma ligada
a um hub diferente, com a rede dividida em vrias sub-redes com faixas de endereos IP
diferentes) e esteja tendo problemas para explicar para o sistema qual placa usar para
cada faixa, voc pode novamente usar o comando route, especificando as faixas de
endereo usadas e a placa responsvel por cada uma, como em:
# route add -net 192.168.1.0 netmask 255.255.255.0 eth1
# route add default eth0
Neste caso estamos dizendo que o sistema tem 4 placas de rede instaladas: eth0, eth1,
eth2 e eth3, sendo que a conexo com a web est ligada na eth0 e as outras 3 so placas
ligadas a trs redes diferentes (um hub ou switch separado para cada placa, formando
trs redes locais separadas) que usam as faixas de IP's 192.168.1.x, 192.168.2.x e
192.168.3.x, as trs com a mscara de sub-rede: 255.255.255.0. Estas linhas tambm
podem ser includas no script de configurao da rede.
Basicamente, estamos dizendo:
Quando mandar alguma coisa para um micro na rede 192.168.1.x use a interface eth1.
Quando mandar alguma coisa para qualquer outra faixa de endereos, ou para a internet,
use a interface eth0.

Instalando o Squid - Servidores Linux

Diunggah oleh

Informasi Dokumen

Hak Cipta

Format Tersedia

Bagikan dokumen Ini

Bagikan atau Tanam Dokumen

Opsi Berbagi

Apakah menurut Anda dokumen ini bermanfaat?

Apakah konten ini tidak pantas?

Hak Cipta:

Format Tersedia

Instalando o Squid - Servidores Linux

Diunggah oleh

Hak Cipta:

Format Tersedia

O Squid composto de um nico pacote, por isso a instalao simples. Instale o

visible_hostname kurumin: O nome do servidor, o mesmo que foi definido na

acl Safe_ports port 901 # swat

Configurando o cache de pginas e arquivos

http_access deny !Safe_ports

Em um ambiente de trabalho, a idia que os funcionrios usem a internet para

Voc pode personalizar as pginas de erro editando os arquivos dentro da pasta

Proxy com autenticao

Para ativar a autenticao, voc vai precisar de um programa chamado "htpasswd". Se

O Sarg um interpretador de logs para o Squid, assim como o Webalizer para o

Independentemente do sistema operacional usado, os parmetros necessrios para

classe B (como em 167.27.135.203) e, finalmente, caso o primeiro octeto seja um

Mantendo o "Compartilhamento de arquivos e impressoras para redes Microsoft" ativo,

Voc pode visualizar e acessar os compartilhamentos disponveis nas outras mquinas

A navegao em redes Windows um recurso que depende fortemente do envio de

Voltando s propriedades da conexo, a configurao da rede vai dentro das

Para configurar o DNS, voc usaria:

O Fedora inclui o "system-config-network", que pode ser chamado atravs do menu,

No Mandriva use os utilitrios disponveis na seo "Rede e internet" do Painel de

No caso do Kurumin, alm do "network-config", voc pode contar com um conjunto de

O script responsvel pela configurao da rede o "netcardconfig", um assistente que

Os compartilhamentos acessados atravs do Smb4k so, na verdade, montados dentro

Em casos onde o Smb4k no consiga mostrar corretamente os compartilhamentos, ou a

Outra opo para acessar os compartilhamentos usar o mdulo "smb:/" do Konqueror.

No Ubuntu voc pode usar o mdulo de acesso a compartilhamentos do Nautilus,

Configurando manualmente no Linux

ac97_codec 11884 0 [i810_audio]

Anda mungkin juga menyukai