Buckminster
usa Void Linux
Post recolhido
Enviado em 28/05/2015 - 11:42h
Para começo de conversa, comente ou tire a linha abaixo do squid.conf:
dns_nameservers 192.168.1.250 <<< NÃO SE COLOCA DNS NO squid.conf, ISSO DEIXA O SQUID MUUUITO LENTO (não sei quantas vezes terei que repetir isso).
O arquivo responsável pelo DNS é o resolv.conf (verifique teu resolv.conf), cada macaco no seu galho se não o galho quebra.
Aqui
cache_dir ufs /var/cache/squid3 4096 16 256
mude para
cache_dir aufs /var/cache/squid3 4096 16 256
e pare o Squid e refaça o cache com squid -z.
Aqui
#Tamanho maximo de arquivos alocados na RAM
maximum_object_size_in_memory 2048 KB
maximum_object_size 4096 KB <<< comente ou exclua essa regra, tu tem ela abaixo com 512 MB.
#Maximo e Minimo armazenados no disco
maximum_object_size 512 MB
minimum_object_size 0 KB
Faça as alterações acima, comente as regras abaixo, reinicie o Squid e teste.
#Usar o maximo de memoria possivel
#memory_pools on
#memory_pools_limit 2048 MB
No Iptables:
Aqui
# Cria regra default para Chains
iptables -P OUTPUT ACCEPT
iptables -P FORWARD ACCEPT
iptables -t nat -P PREROUTING ACCEPT
iptables -t nat -P POSTROUTING ACCEPT
iptables -t nat -P OUTPUT ACCEPT
deixe assim
# Cria regra default para Chains
iptables -P OUTPUT ACCEPT
iptables -P FORWARD DROP
iptables -P INPUT DROP
Aqui
# Libera Rede Interna
iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth0 -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
deixe assim
# Libera Rede Interna
iptables -I INPUT -i lo -j ACCEPT
iptables -I INPUT -i eth0 -j ACCEPT <<< mas veja bem, com essas regras tu está aceitando tudo que entrar para o servidor (chain INPUT) por esta placa de rede.
iptables -I INPUT -i eth1 -j ACCEPT <<< aqui também.
Aqui
#LIBERA DNS SERVER PARA A REDE
iptables -A INPUT -p tcp -s 192.168.1.4 --sport 53 -d 192.168.1.0/24 -j ACCEPT
deixe assim
#LIBERA DNS SERVER PARA A REDE
iptables -A FORWARD -p udp --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp --dport 53 -j ACCEPT
Comente, delete, destrua, destroçe, esmage, desmaterialize as regras abaixo:
#PROTEGE CONTRA OS "PING OF DEATH"
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 20/m -j REJECT
iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 20/m -j REJECT
para minimizar ataque DDos tu já tem a regra /tcp_syncookies no começo do script.
E troque todos os REJECT por DROP. REJECT envia um aviso gastando banda, DROP simplesmente DROPA e pronto.
Faça as alterações, reinicie o servidor e teste.
Outra simples explicação:
O iptables lê as regras de cima para baixo de acordo com cada tabela, ou seja, se uma regra bloquear tudo numa determinada tabela, as exceções (liberações) devem ser colocadas acima desta regra.
Exemplo:
iptables -A INPUT -p tcp --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j REJECT
iptables -A INPUT -p tcp --dport 443 -j DROP
A primeira regra libera, a segunda rejeita com aviso ao cliente e a terceira regra nega o acesso. A primeira regra é que terá o privilégio, então, o acesso na porta 443 será liberado para todos na chain INPUT mesmo rejeitando e negando o acesso nas regras subsequentes.
Fiquei bastante à vontade.
