Bonjour \u00e0 tous,\r\n\r\n Suite \u00e0 une demande r\u00e9currente, et visiblement partag\u00e9e par un certain nombre d'organisme, nous cr\u00e9ons une nouvelle cat\u00e9gorie : \"social_networks\".\r\n\r\n Elle permettra de filtrer plus sp\u00e9cifiquement les sites de r\u00e9seaux sociaux, en ne les incluant pas dans des cat\u00e9gories finalement inadapt\u00e9es.\r\n\r\n Nous essayerons, tant que faire ce peut, de sortir les sites complets des autres cat\u00e9gories (par exemple facebook de la cat\u00e9gorie blog).\r\n\r\n Cordialement <\/pre>\nFIN<\/strong><\/p>\n
\nPour faire suite \u00e0 l’article sur la mise en place de Privoxy pour faire sauter les pubs<\/a> dans toute votre soci\u00e9t\u00e9 (ou chez vous sur votre petit r\u00e9seau local), voici un compl\u00e9ment : le filtre d’URL par cat\u00e9gorie.<\/p>\n
J’ai eu l’occasion de jouer avec SquidGuard \u00e0 travers un serveur IPCOP mis en place par mes soins dans l’\u00e9cole primaire de mon village, avec la b\u00e9n\u00e9diction du Minist\u00e8re de l’Education. Ca marche pas mal, il faut avouer. N’ayant pas de moyen, une \u00e9cole optera certainement pour des listes de filtrages gratuites. Si une seule \u00e9tait \u00e0 retenir, ce serait celle de l’Universit\u00e9 de Toulouse<\/a>.<\/p>\n
Deux objectifs possibles :<\/strong><\/p>\n
\n
- \u00e9viter les abus en entreprises :sites sociaux \u00e0 la facebook, vid\u00e9os \u00e0 gogos, porno et autres contre-productivit\u00e9s sur le clavier etc…<\/li>\n
- filtrer les sites pour vos enfants (lisez \u00e7a aussi, \u00e7a donnera d’autres pistes<\/a>)<\/li>\n<\/ul>\n
Mise en place sur Debian<\/h1>\n
Installation et docs de base<\/h2>\n
Contrairement \u00e0 pas mal d’outils sous Debian, l’installation ne fait rien en soit, elle am\u00e8ne simplement de l’outillage et la plus grosse part est apr\u00e8s.
\nCommencez par installer le logiciel, via un classiqueaptitude install squidguard<\/code>.
\nEvidemment, votre squid est d\u00e9j\u00e0 en place et fonctionnel.<\/p>\nPensez \u00e0 lire le fichier
\/usr\/share\/doc\/squidguard\/README.Debian<\/code> ; c’est d’ailleurs une r\u00e8gle g\u00e9n\u00e9rale apr\u00e8s une installation de paquet Debian, mais surtout pour SquidGuard qui, apr\u00e8s l’installation, ne fait rien tout seul.<\/p>\nPrincipes de fonctionnement<\/h2>\n
Je d\u00e9cris le principe avant de foncer la t\u00eate dans le guidon.<\/p>\n
SquidGuard est simplement une sorte d’extension \u00e0 base de scripts et d’ACL Squid pour filtrer des URL en se basant sur des domaines et des expressions r\u00e9guli\u00e8res d’URL
\nLui m\u00eame n’apporte aucun niveau de filtrage et il faudra aller chercher une liste \u00e0 jour de sites. C’est l\u00e0 toute la difficult\u00e9.
\nJ’arr\u00eate tout de suite ceux qui pensent bloquer facebook.com en \u00e9crivant une ACL bidon genredeny blabla facebook.com<\/code> dans Squid. Entre les sites genre how-to-un-unblock-facebook.com et les \u00ab\u00a0redirectors\u00a0\u00bb genre proxies anonymes, ce sera impossible. D’o\u00f9 l’aide de listes, payantes ou non, robotis\u00e9es ou non, mises \u00e0 jour r\u00e9guli\u00e8rement ou non.
\nSoit vous payez une liste type urlblacklist.com, soit vous optez pour une gratuite, mais n\u00e9anmoins efficace, comme celle de l’Universit\u00e9 de Toulouse, cf. plus haut. Sinon, allez voir l\u00e0<\/a> – je n’ai pas test\u00e9 les 2 premiers liens.<\/p>\nLa README \u00e9voqu\u00e9 ci-dessus parle d’un paquet \u00ab\u00a0chastity-list\u00a0\u00bb,
apt-cache search chastity<\/code> n’ayant rien donn\u00e9, je n’ai pas cherch\u00e9 plus loin.<\/p>\nUne fois la liste choisie, vous obtiendrez g\u00e9n\u00e9ralement des fichiers textes, class\u00e9s par cat\u00e9gories. Il faut les transformer en base de donn\u00e9es type Berkeley-machin (fichiers .db) pour qu’ils soient efficaces en m\u00e9moire.
\nCe sera \u00e9videmment \u00e0 scripter automatiquement toutes les nuits (nouvelles listes => nouveaux .db => rechargement de Squid).
\nA noter que les fichiers .db seront g\u00e9n\u00e9r\u00e9s par SquidGuard uniquement lorsqu’il verra que vous utilisez telle ou telle cat\u00e9gorie dans\/etc\/squid\/squidGuard.conf<\/code><\/strong>. SquidGuard n’ira pas compiler les bases inutilis\u00e9es (ce qui prend du temps sur des grosses listes, genre \u00ab\u00a0adult\u00a0\u00bb (=porno))<\/p>\nEnfin, vous ajouterez les cat\u00e9gories qui vous int\u00e9ressent en ayant pris soin de cr\u00e9er une belle page qui indique \u00e0 l’utilisateur pourquoi tel site est bloqu\u00e9 (je suis sympa, je vous fournis un tel script minimaliste ; en gros une correction de celui fourni dans le package SquidGuard qui est passablement foireux)<\/p>\n
Je ne parle pas des aspects communication en entreprise : filtrer les sites aura s\u00fbrement un impact important sur le moral des troupes, fonction du gain de bande passante, fonction de la productivit\u00e9 \ud83d\ude42<\/p>\n
Mise en place pratique<\/h2>\n
J’illustre la suite par le blocage de la cat\u00e9gorie \u00ab\u00a0hacking\u00a0\u00bb, o\u00f9 l’on pourra tester par exemple www.warez.com, \u00e0 partir des listes de l’Universit\u00e9 de Toulouse<\/p>\n
R\u00e9cup\u00e9ration de la liste de l’Universit\u00e9 de Toulouse<\/h3>\n
La base : r\u00e9cup\u00e9rez soit une cat\u00e9gorie<\/a>, soit la totalit\u00e9<\/a> (je pars sur cette option). Voyez l’explication de chaque cat\u00e9gorie ici<\/a>.<\/p>\n
mkdir \/root\/squidguard\r\ncd \/root\/squidguard\r\nwget ftp:\/\/ftp.univ-tlse1.fr\/blacklist\/blacklists.tar.gz\r\ntar xzvf blacklists.tar.gz\r\nmv blacklists\/* \/var\/lib\/squidguard\/db\/\r\nchown -R proxy:proxy \/var\/lib\/squidguard\/db\/\r\n<\/pre>\nChoix d’une cat\u00e9gorie<\/h3>\n
Dans
\/etc\/squid\/squidGuard.conf<\/code>, on va toucher le minimum. Ajoutez n’importe o\u00f9 :<\/p>\ndest hacking {\r\n domainlist hacking\/domains\r\n urllist hacking\/\r\n log guard_hacking.log\r\n}\r\n<\/pre>\nPour savoir si une cat\u00e9gorie contient des \u00ab\u00a0domaines\u00a0\u00bb, des \u00ab\u00a0URL\u00a0\u00bb ou des \u00ab\u00a0expressions\u00a0\u00bb, allez voir dans
\/var\/lib\/squidguard\/db\/la_categorie\/<\/code>. En effet, seules quelques cat\u00e9gories ont des \u00ab\u00a0expressions\u00a0\u00bb, il s’agit avant tout des cat\u00e9gories de pubs. Je consid\u00e8re que privoxy<\/a> est l\u00e0 pour \u00e7a. Donc je n’ajoute pasexpression hacking\/expressions<\/code> (m\u00eame pas s\u00fbr de la syntaxe). Pour m’assurer que les \u00ab\u00a0expressions\u00a0\u00bb sont utilis\u00e9es uniquement pour la pub, j’ai fait \u00e7a et vu des fichiers de taille 0 ou non-existant pour la plupart des cat\u00e9gories :<\/p>\nsrv:\/var\/lib\/squidguard\/db# ls -l *\/expres*\r\n-rwxr-xr-x 1 proxy proxy 57 2006-05-10 07:47 ads\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 2005-10-18 16:51 adult\/expressions\r\n-rw-r----- 1 proxy proxy 0 2002-11-06 14:08 aggressive\/expressions\r\n-rw-r----- 1 proxy proxy 0 2002-11-06 14:08 agressif\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 1999-03-04 08:07 forums\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 1999-03-04 08:07 mail\/expressions\r\n-rw-r--r-- 1 proxy proxy 42 2009-03-19 10:42 malware\/expression\r\n-rw-r--r-- 1 proxy proxy 47 2009-03-20 13:30 malware\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 2005-10-18 16:51 porn\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 1999-10-06 17:37 proxy\/expressions\r\n-rwxr-xr-x 1 proxy proxy 57 2006-05-10 07:47 publicite\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 1999-10-06 17:37 redirector\/expressions\r\n-rw-r--r-- 1 proxy proxy 123 2005-06-14 21:33 strict_redirector\/expressions\r\n-rw-r--r-- 1 proxy proxy 505 2006-05-23 22:05 strong_redirector\/expressions\r\n-rw-r----- 1 proxy proxy 0 2002-11-06 14:08 violence\/expressions\r\n-rw-r--r-- 1 proxy proxy 0 1999-04-19 14:04 warez\/expressions<\/pre>\nEnsuite, on indique \u00e0 SquidGuard (donc \u00e0 Squid) comment r\u00e9agir pour cette cat\u00e9gorie. Modifier la section
acl {}<\/code> du fichier\/etc\/squid\/squidGuard.conf<\/code> pour qu’il y ait \u00e7a (gardez ou non la palanqu\u00e9e de lignes de commentaires) :<\/p>\nacl {\r\n default {\r\n pass !hacking all\r\n redirect http:\/\/srv\/cgi-bin\/squidGuard-simple.cgi?clientaddr=%a&srcclass=%s&targetclass=%t&url=%u\r\n }\r\n}\r\n<\/pre>\nSi vous voulez bloquer plusieurs cat\u00e9gories, ce sera \u00e0 base de
pass !hacking !adult !blabla all<\/code>.
\nNotez dans la sectionacl {}<\/code> l’adresse de redirection utilis\u00e9e : une page sp\u00e9ciale h\u00e9berg\u00e9e sur le serveur, nomm\u00e9esquidGuard-simple.cgi<\/code>. Il faut maintenant la mettre en place.
\nA noter aussi, il me semble que de base, la ligne \u00ab\u00a0redirect\u00a0\u00bb contient des \u00ab\u00a0+\u00a0\u00bb \u00e0 la place des \u00ab\u00a0&\u00a0\u00bb pour passer les arguments. J’ai pas bien pig\u00e9, j’ai toujours vu des \u00ab\u00a0&\u00a0\u00bb et avec les \u00ab\u00a0+\u00a0\u00bb, \u00e7a ne marchait pas.<\/p>\nRedirection vers une page sp\u00e9ciale<\/h3>\n
\n
- Attention, j’ai ou\u00ef dire que si le script n’\u00e9tait pas l\u00e0, \u00e7a passait silencieusement et la requ\u00eate aboutissait malgr\u00e9 la demande de blocage. Je n’ai pas test\u00e9, j’ai surtout test\u00e9 une URL de chaque cat\u00e9gorie que je suis cens\u00e9 bloqu\u00e9.\n<\/li>\n
- Je consid\u00e8re que votre site web est configur\u00e9 pour que \/cgi-bin\/ soit en un \u00ab\u00a0Alias\u00a0\u00bb de \u00ab\u00a0\/usr\/lib\/cgi-bin\/\u00a0\u00bb, c’est en g\u00e9n\u00e9ral d\u00e9fini dans la configuration par d\u00e9faut d’Apache2 et vous pouvez vous en assurer rapidement avec cette commande
grep cgi-bin \/etc\/apache2\/sites-enabled\/*<\/code> pour voir si \u00e7a r\u00e9pond – en gros.<\/li>\n- La liste des variables que l’on peut passer au script de redirection est donn\u00e9e dans la doc HTML,
\/usr\/share\/doc\/squidguard\/CONFIGURATION.html<\/code><\/li>\n<\/ul>\nDeux scripts sont fournis par le mainteneur du paquet Debian pour nous donner une trame pour l’\u00e9criture du script de redirection – le script qui dira \u00ab\u00a0acc\u00e8s bloqu\u00e9 blabla, si vous pensez que c’est une erreur, contactez l’administrateur blabla\u00a0\u00bb. Ils sont l\u00e0 :<\/p>\n
srv:\/var\/lib\/squidguard\/db# dpkg -S squidGuard*.cgi\r\nsquidguard: \/usr\/share\/doc\/squidguard\/examples\/squidGuard.cgi.gz\r\nsquidguard: \/usr\/share\/doc\/squidguard\/examples\/squidGuard-simple.cgi.gz<\/pre>\nLe premier est apparement plus complet, pr\u00e9vu pour du multi-langues etc, mais r\u00e9cup\u00e8re comme un pied les variables qu’on lui passe<\/strong>. J’ai opt\u00e9 pour l’autre car rapidement, j’ai pu mettre en place une page qui indiquait clairement et simplement le site bloqu\u00e9, la cat\u00e9gorie, l’IP du demandeur et donnait le mail de contact de l’administrateur.
\nDonc soit vous optez pour ces scripts, soit pour le mien fourni ici<\/a>, bas\u00e9 sur le 2\u00e8 script, traduit en fran\u00e7ais et \u00e9pur\u00e9 de certains trucs inutiles. Voyez :<\/p>\n
![\"squidguard\"](\"https:\/\/michauko.org\/blog\/wp-content\/uploads\/2009\/05\/20090520_092614-300x213.png\" "\\"squidguard\\"")
<\/a><\/p>\n