Access Denied Proxy Squid3 (Site rn3.antt.gov.br)

[fabriciosilvabr]

Boa noite,

Tenho um proxy (squid3) e um firewall (shorewall) rodando no ubuntu, e estou com o seguinte problema.

Os usuarios que estão com proxy configurado não conseguem acessar o site http://rn3.antt.gov.br (o mesmo dá erro access denied), quando eu tento acessar via firewall vai normalmente (ou seja sem o proxy)... por algum motivo o proxy está bloqueando essa pagina... o estranho é que o restante do site acessa normalmente para os usuários do proxy.

exemplo: www.antt.gov.br (Acessa)
exemplo: rn3.antt.gov.br (access denied)

Já tentei de tudo e não funcionou, se alguém tiver alguma sugestão, agradeço.

[Arthur Bernardes]

Poste aqui seu arquivo "squid.conf".

[fabriciosilvabr]

http_port 172.16.1.50:3128 intercept
visible_hostname server
error_directory /usr/share/squid3/errors/pt-br/
cache_access_log /var/log/squid3/access.log
cache_store_log /dev/null
cache_log /dev/null
cache_mem 2048 MB
maximum_object_size_in_memory 1024 KB
maximum_object_size 5096 KB
minimum_object_size 1 KB
cache_swap_low 80
cache_swap_high 85
cache_dir ufs /var/spool/squid3 512 16 256
refresh_pattern ^ftp: 15 20% 1440
refresh_pattern ^gopher: 15 0% 1440
refresh_pattern . 15 20% 1440
refresh_pattern download.skype.com/.*\.(cab|exe|dll|msi) 15  100% 1440 reload-into-ims
refresh_pattern cache.pack.google.com/.*\.(cab|exe|dll|msi) 15 100% 1440 reload-into-ims
auth_param ntlm program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-ntlmssp
auth_param ntlm children 50
auth_param ntlm keep_alive on
auth_param basic program /usr/bin/ntlm_auth --helper-protocol=squid-2.5-basic
auth_param ntlm children 50
auth_param basic realm Ola, seu acesso registrado, por favor digite seu usuario e senha.
auth_param basic credentialsttl 2 hours
external_acl_type NT_global_group ttl=60 %LOGIN /usr/lib/squid3/wbinfo_group.pl
debug_options ALL,4
acl manager proto cache_object
acl webserver src 172.16.1.50/255.255.255.255
http_access allow manager webserver
http_access deny manager
acl local src 172.16.0.0/16
acl local src 192.168.10.0/24
acl local src 172.20.8.0/21
acl terios src 172.16.15.1/32
http_access allow terios
acl lib_wireless src 172.16.21.0/32
http_access allow lib_wireless
acl ameacas url_regex -i "/etc/squid3/sites/S_ameacas"
http_access deny ameacas
acl silas.silva src 172.16.21.54/32
http_access allow silas.silva
acl mussolini src 172.16.21.18/32
http_access allow mussolini
acl eliel src 172.16.21.107/32
acl eliel src 172.16.21.164/32
acl cyro src 172.16.22.19/32
http_access allow cyro
acl trafegus src 172.16.12.153/32
http_access allow trafegus
acl logis src 172.16.1.110
http_access allow logis
acl cordoba src 172.16.1.100
http_access allow cordoba
acl fusca src 172.16.10.30
http_access allow fusca
acl logistico src 172.16.1.110
http_access allow logistico
acl zimbra src 172.16.1.80
http_access allow zimbra
acl naocache url_regex -i "/etc/squid3/sites/S_cache"
no_cache deny naocache
acl saat url_regex -i "/etc/squid3/sites/S_saat"
acl saat_servers src 172.16.10.195/32
http_access allow saat saat_servers
acl RSA url_regex -i "/etc/squid3/sites/S_rsa"
http_access allow RSA
http_access deny all !local
acl localhost src 127.0.0.1/32
http_access allow localhost
acl SSL_ports port 443 # https
acl SSL_ports port 563 # snews
acl SSL_ports port 873 # rsync
acl SSL_ports port 50000-50010
acl Safe_ports port 80 # http
acl Safe_ports port 81
acl Safe_ports port 90
acl Safe_ports port 809 # SpTrans
acl Safe_ports port 21 # ftp
acl Safe_ports port 443 # https
acl Safe_ports port 70 # gopher
acl Safe_ports port 210 # wais
acl Safe_ports port 1025-65535 # unregistered ports
acl Safe_ports port 280 # http-mgmt
acl Safe_ports port 488 # gss-http
acl Safe_ports port 591 # filemaker
acl Safe_ports port 777 # multiling http
acl Safe_ports port 631 # cups
acl Safe_ports port 873 # rsync
acl Safe_ports port 901 # SWAT
acl purge method PURGE
acl CONNECT method CONNECT
acl acessofull external NT_global_group AD_full
acl parcial external NT_global_group AD_parcial
acl dicom external NT_global_group AD_dicom
acl operadores external NT_global_group AD_operadores
acl relacionamentos external NT_global_group AD_relacionamentos
acl difin external NT_global_group AD_difin
acl bancos external NT_global_group AD_bancos
acl prp external NT_global_group AD_prp
acl negados_tlc external NT_global_group AD_negados_tlc
acl negados_bst external NT_global_group AD_negados_tlc
acl mkt external NT_global_group AD_mkt
acl telecom external NT_global_group AD_telecom
acl relacionamentos_rh external NT_global_group AD_relacionamentos_rh
acl sac external NT_global_group AD_sac
acl lider external NT_global_group AD_lider
acl sinistros external NT_global_group AD_sinistros
acl testes external NT_global_group AD_testes
acl restritos external NT_global_group AD_restritos
acl relacionamentos_dicom external NT_global_group AD_relacionamentos_dicom
acl folha external NT_global_group AD_folha
acl ms external NT_global_group AD_ms
acl remoto external NT_global_group AD_remoto
acl rola external NT_global_group AD_rola
acl hotmail external NT_global_group AD_hotmail
acl tj external NT_global_group AD_tj
acl noticias_dpe external NT_global_group AD_noticias_dpe
acl rtf external NT_global_group AD_rtf
acl santacruz external NT_global_group AD_SantaCruz_Operadores
acl S_parcial url_regex -i "/etc/squid3/sites/S_parcial"
acl S_dicom url_regex -i "/etc/squid3/sites/S_dicom"
acl S_operadores url_regex -i "/etc/squid3/sites/S_operadores"
acl S_relacionamentos url_regex -i "/etc/squid3/sites/S_relacionamentos"
acl S_leiloes url_regex -i "/etc/squid3/sites/S_leiloes"
acl S_difin url_regex -i "/etc/squid3/sites/S_difin"
acl S_bancos url_regex -i "/etc/squid3/sites/S_bancos"
acl S_prp url_regex -i "/etc/squid3/sites/S_prp"
acl S_negados_tlc url_regex -i "/etc/squid3/sites/S_negados_tlc"
acl S_negados_bst url_regex -i "/etc/squid3/sites/S_negados_bst"
acl S_mkt url_regex -i "/etc/squid3/sites/S_mkt"
acl S_telecom url_regex -i "/etc/squid3/sites/S_telecom"
acl S_relacionamentos_rh url_regex -i "/etc/squid3/sites/S_relacionamentos_rh"
acl S_sac url_regex -i "/etc/squid3/sites/S_sac"
acl S_lider url_regex -i "/etc/squid3/sites/S_lider"
acl S_sinistros url_regex -i "/etc/squid3/sites/S_sinistros"
acl S_google url_regex -i "/etc/squid3/sites/S_google"
acl S_variados url_regex -i "/etc/squid3/sites/S_variados"
acl S_sexo url_regex -i "/etc/squid3/sites/S_sexo"
acl S_messengers url_regex -i "/etc/squid3/sites/S_messengers"
acl S_downloads url_regex -i "/etc/squid3/sites/S_downloads"
acl S_variados_liberados url_regex -i "/etc/squid3/sites/S_variados_liberados"
acl S_relacionamentos_dicom url_regex -i "/etc/squid3/sites/S_relacionamentos_dicom"
acl S_folha url_regex -i "/etc/squid3/sites/S_folha"
acl S_ms url_regex -i "/etc/squid3/sites/S_ms"
acl S_remoto url_regex -i "/etc/squid3/sites/S_remoto"
acl S_hotmail url_regex -i "/etc/squid3/sites/S_hotmail"
acl S_tj url_regex -i "/etc/squid3/sites/S_tj"
acl S_noticias_dpe url_regex -i "/etc/squid3/sites/S_noticias_dpe"
acl S_beneficio url_regex -i "/etc/squid3/sites/S_beneficio"
acl S_rtf url_regex -i "/etc/squid3/sites/S_rtf"
acl S_SantaCruz url_regex -i "/etc/squid3/sites/S_SantaCruz"
acl S_RedesSociais url_regex -i "/etc/squid3/sites/S_RedesSociais"
acl S_consulta_tlc url_regex -i "/etc/squid3/sites/S_consulta_tlc"
http_access deny all S_sexo Safe_ports
http_access allow rtf S_rtf Safe_ports
http_access allow acessofull
http_access deny all S_beneficio Safe_ports
http_access allow tj S_tj Safe_ports
http_access allow hotmail S_hotmail Safe_ports
http_access allow rola S_rola Safe_ports
http_access allow remoto S_remoto Safe_ports
http_access allow ms Safe_ports
http_access allow noticias_dpe S_noticias_dpe Safe_ports
http_access allow relacionamentos_rh S_relacionamentos_rh Safe_ports
http_access allow relacionamentos_dicom S_relacionamentos_dicom Safe_ports
http_access allow folha S_folha Safe_ports
http_access deny all S_messengers Safe_ports
http_access allow operadores S_operadores Safe_ports
http_access allow parcial !S_RedesSociais Safe_ports
http_access allow mkt !S_mkt Safe_ports
http_access deny all S_relacionamentos Safe_ports
http_access deny all S_leiloes Safe_ports
http_access allow all S_google Safe_ports
http_access deny all S_variados
http_access deny all S_parcial Safe_ports
http_access allow all lib_maqs_CFTV Safe_ports
http_access allow all lib_TVBSAT Safe_ports
http_access allow restritos Safe_ports
http_access deny dicom !S_dicom  Safe_ports
http_access allow negados_tlc S_operadores Safe_ports
http_access allow all prp S_prp Safe_ports
http_access deny S_downloads
http_access allow difin S_difin Safe_ports
http_access allow santacruz S_SantaCruz Safe_ports
http_access allow all  S_bancos Safe_ports
http_access allow all S_variados_liberados Safe_ports
http_access allow telecom S_telecom Safe_ports
http_access allow sac S_sac Safe_ports
http_access allow lider S_lider Safe_ports
http_access allow sinistros S_sinistros !S_negados_bst Safe_ports
http_reply_access deny S_RedesSociais !acessofull Safe_ports
http_access deny CONNECT S_RedesSociais !acessofull Safe_Ports
no_cache deny SSL_ports
http_access deny  Safe_ports
http_access deny all

[zekkerj]

Xiiiii.... é bem difícil localizar qual das regras está causando o deny, nesse caso... tente verificar se há alguma ACL que esteja programada pra identificar algo com "rn3*".
Lembro de já ter visto algum aplicativo pra ajudar na depuração, mas não lembro o nome agora.

[fabriciosilvabr]

Boa noite,

Não está parecendo nenhum problema de proxy e sim de firewall, pois tenho 3 operadoras. Embratel, Diveo e Intelig, quando meu link sai pela Diveo o site acessa normalmente, agora quando sai pelas outras duas, apresenta esse problema... Fiz um teste em tentar acessar com o cabo que está ligado diretamente no roteador e consigo acessar normalmente, ou seja acho que o firewall é o problema...

dicas?

[zekkerj]

Se dá erro "access denied", não é nada no firewall, e sim no squid. Se fosse no firewall daria erro de timeout.

[fabriciosilvabr]

O Squid continua com as mesmas configurações, e quando subo o link da diveo o mesmo funciona normalmente... se fosse problema do proxy apresentaria mensagem padrão do squid o que não ocorre, e sim mensagem de access denied do governo...

[zekkerj]

Cola um screenshot da tela de erro então.

[fabriciosilvabr]

[zekkerj]

... publique a imagem em algum site e cole o link aqui.